Seminggu ini sering saya menerima notifikasi dari server bahwa telah terjadi serangan brute force dari beberapa alamat IP. Menurut saya brute force ini kerjaan orang iseng, dan ternyata masih ada saja. Bagi server untuk pulic area (memakai IP publik) ini sebenernya serangan yang simple tapi harus diwaspadai. Jika tidak namanya percobaan bisa saja berhasil.
The following is a summary event for exceeded login failures on XXXXX:
SOURCE ADDRESS: 218.19.x.x
TARGET SERVICE: dovecot
FAILED LOGINS: 53
EXECUTED COMMAND: /etc/apf/apf -d 218.x.x.x {bfd.dovecot}
SOURCE LOGS FROM SERVICE 'dovecot' (GMT +0700):
Nov 11 13:27:11 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<admin@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:13 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<support@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:16 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<webmaster@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:18 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<test@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:21 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<test@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:23 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<test1@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:26 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<guest@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:28 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<guest@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
Nov 11 13:27:31 vps1 dovecot: pop3-login: Disconnected (auth failed, 1 attempts): user=<info@27>, method=PLAIN, rip=x.x.x.x, lip=x.x.x.x
cuplikan report brute force
Serangan brute force itu menebak-nebak username dan password. Terlihat di log, penyerang mencoba2 user yang available info@27, guest@27, test@27, testi@27, support@27, admin@27 dll. Sekarang bagaimana mangatasinya? Pada server saya tanamkan APF dan BFD, BFD(brute force detection) untuk mendeteksi serangan bruteforce dan APF digunakan untuk memutus koneksi dari penyerang. Rule yang saya terapkan jika ada 15 kali gagal login dari satu alamat IP maka itu dianggap brute force dan system secara otomatis memblok semua paket yang datang dari alamat IP tersebut. Cara instalasinya disini Install APF Firewall & BFD
widih serem juga ya mas broo