OSC 2018 Tokyo/Spring LT

1. 今日はxrdpの話ではありません

3. FreeBSDのpostfixを
blacklistd(8)に対応させてみた
日本xrdpユーザ会
@metalefty

4. blacklistd?

5. blacklistd(8)とは
●
blacklist daemon
●
NetBSD 7.0 で導入され
●
FreeBSD 11.0にやってきた
●
類似品
– fail2ban
– denyhosts
– ban4ip

6. 何が違うのか

7. fail2banの仕組み

8. fail2banの仕組み

9. デーモンの書きだすログを解析
認証失敗回数などを数えて
ファイアウォールでブロック

10. 非常に泥臭いが現実的な方法

11. blacklistdの仕組み

12. デーモンから認証結果を
blacklistdに通知する
blacklistdが認証失敗を数えて
あとはよろしくやってくれる

13. すっきりしていて理想的
デーモン側の対応が必要(簡単)

14. ソースコードの変更が
必要なあたりも理想主義的

15. NetBSDのpostfixに入った！
https://twitter.com/n_soda/status/958907818668580864

16. このうれしさ
伝わりますか？

17. SMTP-AUTHへのブルートフォース攻撃が
ここ数年本当に多い (後述)

18. 小さいパッチらしい！
https://twitter.com/n_soda/status/958910420428795904

19. FreeBSDに持ってくるしかない！

20. 持ってきた

21. テストがてら運用してみた
●
3回SMTP-AUTHに失敗したら24hブロック
●
25/tcpへのアクセスが多い
– 日本以外が多い(OP25Bのため)
●
ブロックまでタイムラグがある
– 5秒ごとにポーリングしているため
– 3回以上認証失敗が記録されることがある
– ブロックまでに1700回(!)ログイン試行も

22. 実際のブロックログ

23. 攻撃の傾向
●
25/tcp がほとんど
– 本当にうっとうしい
– 2500回/5秒というペースで試行してくる場合も
●
465/tcp (SMTPS) もそれなりにある
– とはいえ1%ないくらい
– 25/tcpへのアタックが多すぎて比率は霞む
●
587/tcp もなくはない

24. これからどうなる？
●
まだ手元でパッチを当てただけの野良pkg
●
FreeBSD portsへ取り込んでもらうべく提出済
●
upstreamに入れてもらう性質のものではない
– NetBSDのパッチもupstream入れる前提ではない
– #if defined(__FreeBSD__) とか入れてない
●
FreeBSD portsに取り込んでもらうのがゴール