व्यवस्थापक के रूप में लॉगिन करने का प्रयास करने वाले किसी व्यक्ति के साथ कैसे व्यवहार करें?

Question

इन अंतिम दिनों के दौरान, मैंने अपने डब्लॉग में देखा कि कोई व्यक्ति इधर-उधर भागने की कोशिश कर रहा है।

उस व्यक्ति ने लॉगिन url खोजने की कोशिश की (मेरी वेबसाइट उपयोगकर्ता पंजीकरण के लिए खुली नहीं है) इसलिए उन्होंने my-domain.com/admin, my-domain.com/administrator .. और my-domain.com/wp- से सब कुछ आज़माया। लॉगिन (जो इंगित करता है कि व्यक्ति ड्रुपल से परिचित नहीं है ..)

एक बार जब वह व्यक्ति समाप्त हो गया / उपयोगकर्ता ने अलग-अलग उपयोगकर्ता नाम आज़माकर उसे व्यवस्थापक के रूप में लॉगिन करने का प्रयास किया: व्यवस्थापक, व्यवस्थापक आदि ... (मैं रूट उपयोगकर्ता के लिए उपयोगकर्ता नाम के रूप में 'व्यवस्थापक' का कभी उपयोग नहीं करता)

क्या इस तरह की चीजों से एक ड्रुपल वेबसाइट को रोकने / उसकी रक्षा करने का कोई तरीका है?

धन्यवाद

ps: मैं कैसे d6 और d7 दोनों के लिए यह करने में रुचि रखता हूँ

Answer 1

इंटरनेट पर इस तरह की जांच बहुत आम है। कुछ चीजें हैं जो आप संभावित रूप से इस समस्या को रोक सकते हैं और एक हमलावर की सफलता को कम कर सकते हैं।

सबसे पहले, मैं सभी को दो फैक्टर ऑथेंटिकेशन का उपयोग करने की सलाह देता हूं ताकि हमलावर भले ही आपके उपयोगकर्ता नाम और पासवर्ड का अनुमान लगा लें लेकिन वे अभी भी लॉगिन नहीं कर सकते हैं। टीएफए को तोड़ने के लिए $ 500 का एक इनाम था और हालांकि सफेद टोपी के हमलावरों के पास उपयोगकर्ता नाम और पासवर्ड था जो वे अंदर नहीं तोड़ सकते थे।

सुरक्षा समीक्षा मॉड्यूल या Droptor इन विफल रही लॉगिन की निगरानी कर सकते हैं। यदि वे बहुत कुछ करते हैं तो आपको और अधिक कार्रवाई करने की आवश्यकता है। पासवर्ड पर ब्रूट बल के हमले केवल तभी काम करते हैं जब कोई उन्हें बहुत कुछ करता है अगर ऐसा सिर्फ कुछ दर्जन बार होता है तो मुझे चिंता नहीं होगी।

आप वॉचडॉग प्रविष्टियों का उपयोग करके इस व्यक्ति द्वारा उपयोग किए गए आईपी पते को ट्रैक कर सकते हैं और फिर उस आईपी के माध्यम से पहुंच को अवरुद्ध करने के लिए अंतर्निहित D6 एक्सेस रूल्स (या d7 समतुल्य - http://drupal.org/project/user_restrictions ) का उपयोग कर सकते हैं। आप अपाचे या कुछ अन्य सर्वर स्तर फ़ायरवॉल में आईपी तक पहुंच से इनकार कर सकते हैं। सर्वर पर लोड के मामले में उपयोगकर्ताओं को ब्लॉक करने के लिए फ़ायरवॉल / वेबसर्वर एक अधिक कुशल स्थान है, लेकिन आमतौर पर इसके लिए थोड़ा और प्रयास करने की आवश्यकता होती है।

ड्रुपल 6 और 7 के लिए, अजीत ने एक अच्छे विवरण के साथ एक उत्तर प्रदान किया है कि एक ही आईपी से बार-बार लॉगिन प्रयासों को रोकने के लिए एक रेट-लिमिटिंग सुविधा का उपयोग कैसे किया जाए।

Comments

अब यह द्रुपल सुरक्षा टीम के एक लड़के से जवाब की तरह लगता है; ;-) +1

— अजीत

दिलचस्प विचार। मैं कुछ दिनों के लिए d6 एक्सेस नियमों का उपयोग करके आईपी एड्रेस को ब्लॉक करके शुरू करूँगा और देखूंगा कि यह कैसे मदद करता है। आप सभी को धन्यवाद !

— अमृतम

कुडोस लिखित उत्तर के लिए, लेकिन समय की बड़ी बर्बादी। कोई फर्क नहीं पड़ता कि आप क्या करते हैं, आप हमेशा इन लिपियों को अपनी साइट को स्क्रैप करते रहेंगे । बस https में अपने व्यवस्थापक और लॉगिन पृष्ठ की सेवा करें और एक अच्छा व्यवस्थापक पासवर्ड रखें।

— स्टेफगोसेलिन

बार-बार विफल लॉगिन प्रयासों के बाद Drupal 7 स्वचालित रूप से एक निश्चित आईपी पते से पहुंच को अवरुद्ध नहीं करता है? मैंने एक बार एक क्लाइंट को यह कहते हुए बुलाया था कि वह अब लॉग इन नहीं कर सकता है क्योंकि उसने अपने उपयोगकर्ता को लगभग 5 बार / पास करने की कोशिश की और विफल हो गया और अब वह लॉग इन नहीं कर सकता है और मुझे उसे वापस एक्सेस देने के लिए db से कुछ तालिकाओं को साफ करना होगा। ..

— मारियो अवध

@stefgosselin https बहुत सारे लोगों के लिए एक विकल्प नहीं है, हालांकि मैं निश्चित रूप से सहमत हूं कि यह एक अच्छा कदम है। मैं यह भी नहीं देखता कि कैसे https वास्तव में जानवर बल समस्या के साथ मदद करता है। मुझे लगता है कि TFA उन लोगों के लिए मददगार है जो https और / या नहीं पा सकते हैं, जो वास्तव में बल के हमलों का समाधान ढूंढ रहे हैं।

— ग्रेगल्स

Answer 2

Drupal 6 के लिए आपको लॉगिन सुरक्षा मॉड्यूल की जांच करनी चाहिए ।

लॉगिन सुरक्षा मॉड्यूल एक Drupal साइट के लॉगिन ऑपरेशन में सुरक्षा विकल्पों में सुधार करता है। डिफ़ॉल्ट रूप से, ड्रुपल केवल बुनियादी एक्सेस कंट्रोल का परिचय देता है, जो साइट की पूरी सामग्री के लिए आईपी एक्सेस से इनकार करता है।

लॉगिन सुरक्षा मॉड्यूल के साथ, एक साइट व्यवस्थापक लॉगिन फ़ॉर्म (उपयोगकर्ता में डिफ़ॉल्ट लॉगिन फ़ॉर्म और "लॉगिन फ़ॉर्म ब्लॉक" नामक ब्लॉक में एक्सेस कंट्रोल फीचर्स जोड़कर एक्सेस को सुरक्षित और प्रतिबंधित कर सकता है)। इस मॉड्यूल को सक्षम करने से, साइट व्यवस्थापक खातों को ब्लॉक करने से पहले, या अस्थायी रूप से या स्थायी रूप से आईपी पते द्वारा पहुंच से इनकार करने से अमान्य लॉगिन प्रयासों की संख्या को सीमित कर सकता है। सूचनाओं का एक समूह साइट प्रशासक को यह जानने में मदद कर सकता है कि कब उनकी साइट के लॉगिन फॉर्म के साथ कुछ हो रहा है: पासवर्ड और खाता अनुमान लगाना, लॉगिन प्रयास तेज करना या लॉगिन ऑपरेशन के साथ सिर्फ अप्रत्याशित व्यवहार।

Drupal 7 के लिए, जैसा कि @saadlulu ने कहा कि लॉगिन करने के 5 असफल प्रयासों के बाद पहले से ही एक्सेस को लॉक करने की सुविधा है। यदि आप अधिक नियंत्रण चाहते हैं, तो आप बाढ़ नियंत्रण मॉड्यूल की कोशिश कर सकते हैं ।

इस परियोजना का उद्देश्य Drupal 7 में छिपे हुए बाढ़ नियंत्रण चर के लिए एक प्रशासन इंटरफ़ेस जोड़ना है, जैसे लॉगिन प्रयास सीमा और भविष्य के किसी भी नए चर।

Answer 3

शायद नाम बदलने के लिए व्यवस्थापक पथ का उपयोग करने में मदद मिलेगी?

इस मॉड्यूल का उद्देश्य व्यवस्थापक पथ को ओवरराइड करके ड्रूपल बैकेंड को सुरक्षित करना है।

Comments

en.wikipedia.org/wiki/Security_through_obscurity

— मार्क फेर्री

हाँ, मुझे पता है कि "अस्पष्टता के माध्यम से सुरक्षा" वास्तव में सुरक्षा नहीं है, लेकिन मैं वास्तव में इस सवाल का जवाब देने के उद्देश्य से था ...

— जॉन

अच्छा जवाब है, का नाम बदलने / उपयोगकर्ता / लॉगिन कस्टम / लॉगिन / पथ को डिफ़ॉल्ट यूआरएल पर लॉगिन करने के लिए प्रयास से बॉट को रोकने के लिए बहुत ही कुशल हो सकता है

— undersound

Answer 4

मैं इसे उसी तरह से संभालना चाहता हूं जो अन्य स्रोतों (जैसे ssh, ftp) से लॉगिन को विफल कर दिया गया है, इसलिए वे सभी लगातार काम कर रहे हैं। उस के लिए मैं असफल 2 पर नजर डालूंगा , जो कि मुझे ब्रूट बल SSH लॉगिन के खिलाफ उपयोग करने में बड़ी सफलता मिली है। यह अच्छी तरह से निगरानी करने वाले औजारों को भी खिलाता है, और फ़ायरवॉल स्तर पर ब्लॉक करता है, जो आम तौर पर ड्रुपल लॉगिन को रोकने की तुलना में अधिक सुरक्षित होता है क्योंकि यह एक ही जगह से कई हमले वैक्टर के लिए आम है, उदाहरण के लिए यदि वे मेटालोविट जैसी चीजें चला रहे हैं। ।

Comments

मैं सहमत हूं, लेकिन 'टारगेट' जो 'टारगेट' हो रहा है, वह एक साझा होस्टिंग सर्वर में चल रहा है, जो मुझे सर्वर स्तर सेटिंग्स तक पहुंचने से रोकता है, मैं केवल ड्रूपल के भीतर से इसे आज़मा सकता हूं और इसकी रक्षा कर सकता हूं, लेकिन मैं इसे समर्पित सर्वर पर स्विच करने पर विचार कर रहा हूं अगले कुछ हफ्तों में। धन्यवाद

— amstram

फ़ायरवॉल स्तर पर जाने का एक लाभ यह है कि ड्रुपल आपकी साइट की हमले की सतह का सिर्फ एक हिस्सा है। यदि कोई ड्रुपल के माध्यम से प्राप्त नहीं कर सकता है, तो वे संभवतः देखेंगे कि क्या ssh या ftp या ... अन्य सेवाएं चल रही हैं और फिर उन विधियों के माध्यम से प्राप्त करने का प्रयास करें।

— greggles

Answer 5

यह वास्तव में पूरी तरह से अपेक्षित व्यवहार है। जब भी आप किसी सार्वजनिक आईपी पर एक वेबसाइट प्रकाशित करते हैं, तो घंटों / दिनों के भीतर आपको सॉर्ट का ट्रैफ़िक मिलना शुरू हो जाएगा। 99.99% समय, ये सिर्फ बॉट्स हैं जो एक सामान्य स्क्रिप्ट चलाते हैं जो अप्रकाशित अनुप्रयोगों या आसान पासवर्ड की तलाश में हैं। यह बताता है कि आप domain.com/wp-login पर हिट क्यों देखते हैं, (स्वचालित) होस्ट पर हमला करने वाले को यह भी नहीं पता है कि आप शुरू में Drupal चला रहे हैं, यह लोकप्रिय CMS's, Wordpress, Drupal, आदि के सभी रास्तों को आज़मा रहा है ... ।

मैं कहता हूं कि इस बारे में चिंता करने में बहुत समय बर्बाद मत करो। आप जो कुछ भी करते हैं वह हमेशा इन लिपियों को आपकी साइट ... दुनिया भर से खुरचते हुए मिलेगा।

दो सरल चीजें आपके ऐप को अपेक्षाकृत सुरक्षित बनाएंगी:

1. Https के माध्यम से लॉगिन और व्यवस्थापक पृष्ठों की सेवा करें

2. व्यवस्थापक के लिए एक अच्छा पासवर्ड रखें

आप जो भी सुरक्षा योजना कार्यान्वित करते हैं, ALWAYS में आपके सामान का हाल ही में बैकअप होता है।

गुड-लक, नया साल मुबारक दोस्त।

Answer 6

यदि आप पूछ रहे हैं तो तार्किक नहीं है यदि आप / उपयोगकर्ता पेज तक पहुंच को रोकते या रोकते हैं।

यदि आप उस पृष्ठ को रोकने के लिए किसी तरह प्रबंधन करते हैं, तो आप इसे कैसे एक्सेस करने जा रहे हैं?

प्लस ड्रुपल पहले से ही 5 प्रयासों के बाद उपयोगकर्ता तक पहुंच को रोककर इस तरह के हमलों को रोकने का एक तरीका प्रदान करता है।

यद्यपि आप अपने व्यवस्थापक खाते में प्रयासों को सीमित कर सकते हैं।

Comments

नमस्कार, उत्तर देने के लिए धन्यवाद। मैं कुछ विशिष्ट नहीं माँग रहा हूँ। मैं सिर्फ इससे निपटने के तरीकों के बारे में सोच रहा हूं। मुझे लगता है कि '5 असफल प्रयास लॉक' एक ड्रुपल 7 केवल विशेषताएं हैं, क्या मैं सही हूं? क्या Drupal 6 में इसी तरह की सुविधा को लागू करना संभव है?

— एमस्ट्रम

मुझे कोई पता नहीं है क्योंकि मेरी पृष्ठभूमि केवल फ्रूपल 7 है। मैं इसे ड्रुपल 6 :) से अपने भाइयों के पास छोड़ दूँगा। आप मुझे एक एहसान कर सकते हैं और अगर आपको पसंद है तो मेरा जवाब स्वीकार कर सकते हैं।

— सादालुलु

आप इस मॉड्यूल लॉगिन सुरक्षा की जाँच भी कर सकते हैं

— saadlulu

यह "उत्तर" एक अच्छा नहीं है क्योंकि 5 प्रयासों का ताला केवल ड्रुपल 7 है और समस्या को रोकने के लिए हमेशा कुछ करना है, उससे भी आगे।

— greggles