Juan Oliva

Antecedentes
El año pasado publique un post sobre algunas técnicas que estaban siendo usadas para ataques a servidores Elastix a través de la interfase de administración, bueno todo cambia y por supuesto los ataques también.

Revisión de logs
Desde hace unos meses están apareciendo en el log de apache este tipo de registro en el log de  apache.

Evidentemente, se trata de un atacante, en pleno proceso de descubrimiento de archivos y carpetas en el servidor, realizado con los ya conocidos «web scaners».

Bloqueo
Para esto encontré en este blog, una manera muy interesante de bloquear este tipo de ataques usando fail2ban, con algunas modificaciones para Elastix, que a continuación explico.

1.- Detección y bloqueo de  «w00tw00t.at.ISC.SANS.DFind»

A.- Crear las Definiciones

vi /etc/fail2ban/filter.d/apache-w00tw00t.conf

[Definition]
failregex = ^.*\[client <HOST>\].*w00tw00t\.at\.ISC\.SANS\.*.*
ignoreregex =

B.- Añadimos el comportamiento o jaula en el archivo de configuración central

vi /etc/fail2ban/jail.conf

[apache-w00tw00t]
enabled = true
filter = apache-w00tw00t
action = iptables-allports[name=w00tw00t]
logpath = /var/log/httpd/access_log
maxretry = 1
bantime = -1

2.- Detección y bloqueo de «/phpMyAdmin/main.php»

A.- Crear las Definiciones
vi /etc/fail2ban/filter.d/phpMyAdmin-admin.conf

[Definition]
failregex = ^.*\[client <HOST>\].*phpMyAdmin\/admin\.*.*
ignoreregex =

B.- Añadimos el comportamiento o jaula en el archivo de configuración central

vi /etc/fail2ban/jail.conf

[phpMyAdmin-admin]
enabled = true
filter = phpMyAdmin-admin
action = iptables-allports[name=phpMyAdmin]
logpath = /var/log/httpd/access_log
maxretry = 1
bantime = -1

Conclusiones

– Reitero, si cuentan con la interfaz de administración de Elastix de cara a internet , es necesario dar mucho seguimiento a los logs de Apache

– De manera general, tratar de apoyarse en herramientas que pueden detectar de manera proactiva, ciertos comportamientos como este caso Fail2ban
Espero les sirva la información , veremos que nos trae los próximos meses