웹 서버 1U 로 몇개 돌리고 있는데요
터미널 접속을 하는 아이피가 너무 많은데 이걸 체계적으로 잡을 수 있는 방법이 있을까요?
로그 보니까. 접속 시도를 무척이나 많이 하던데 물론 로그에서 접속 실패로 나옵니다.
나오는 아이피를 자동적으로 차단을 한다던가 하면 좋을 듯 한데 방법이 혹시 있으신분 있으신가 모르겠습니다.
환경은 윈도우 서버 입니다.
프로세서 정보 공유
웹 서버 1U 로 몇개 돌리고 있는데요
터미널 접속을 하는 아이피가 너무 많은데 이걸 체계적으로 잡을 수 있는 방법이 있을까요?
로그 보니까. 접속 시도를 무척이나 많이 하던데 물론 로그에서 접속 실패로 나옵니다.
나오는 아이피를 자동적으로 차단을 한다던가 하면 좋을 듯 한데 방법이 혹시 있으신분 있으신가 모르겠습니다.
환경은 윈도우 서버 입니다.
저는 RDP 계정정보 2번 틀리면 해당 IP 2일간 블락시키게 해뒀습니다.
caps lock 1번 + 오타 1번 내면 블럭당해서 서버 직접 만지러 가야겠네요
다 이런저런걸 감안해서 설정해 둔거죠.
2번 틀려서 블락 돼도 서버 직접 만지러 갈 일 없습니다 ㅋ
저런것도 없는데 너무 작은 회수 해두면 가끔 피로해집니다 (경험담/보안 규정떔에 저랬다가 귀찮아진적 있음)
상단 네트워크 장비 설치가 불가피한경우 vpn서버라도 쓰세요
포트 바꾸면 공격이 줄긴하는데, 여전히 들어옵니다
수시로 체크해서 자동으로 차단할 스크립트를 작성하는 게 간단하지만은 않습니다.
그냥 기본으로 대처합니다.
포트와 Administrator계정명 변경은 당연한거고,
IPSec으로 접속을 허용할 주소에만 RDP포트를 열어 둡니다.
2. SSL RDP게이트웨이를 쓴다.
3. 외부에 노출할거라면 정해진 화이트 리스트 IP만 허용해서 쓴다.
포트 바꾸고 자동스크립트로 죄다 차단시켜도 봇들 숫자가 어마어마 해서 결국 위 123 으로 결론내려서 쓰고 있습니다.
스캐닝하는 패킷도 막아야 되는데 일반적인 OS로는 패턴 잘 못막으니까 PFSENSE 같은걸로 블랙리스트 외부에 공유된것들 참조해서 방화벽으로 막는것도 중요합니다.
블럭패턴같은거 하지 마세요 그건 진짜 아무것도 하지 않았을때나 대체방안 없을때 사용하는거지 영구블랙 리스트에 올려도 이것들이 블랙에 안올라가게끔 텀을 주는 자동화까지 쓰고 있어서 은근 거슬립니다.