Onderwerp: Directadmin VPS met CSF+LFD maar banned niet alle brute forces..

CSF blijkt niet alle brute force attempts te herkennen en te bannen. Het aparte is dat portscans, pop3, smtp en ssh login failures wel herkend en gebanned worden maar gek genoeg imap en ftp niet. Is dit een bekend fenomeen of ben ik de enige die hier last van heeft? Directadmin heeft ook een Brute Force Monitor maar hier ben ik niet zo een fan van en heb liever dat alles via CSF gaat. Ik heb onderaan in csf.conf de FTP path veranderd van /var/log/secure naar /var/log/messages omdat PureFTPD ze standaard weg schrijft in /var/log/messages maar blijkt blijt ook niet te helpen.

Ik heb een andere VPS getest en daar heb ik precies hetzelfde probleem.. Ligt dit aan mijn configuratie kunsten? Of is er iets anders mis met CSF of mijn VPS? Ik draai CentOS6 met Directadmin (alles up2date).

Wellicht moet je het nog enablen in CSF?

Code:

###############################################################################
# SECTION: Distributed Attacks
###############################################################################
# Distributed Account Attack. This option will keep track of login failures
# from distributed IP addresses to a specific application account. If the
# number of failures matches the trigger value above, ALL of the IP addresses
# involved in the attack will be blocked according to the temp/perm rules above
#
# Tracking applies to LF_SSHD, LF_FTPD, LF_SMTPAUTH, LF_POP3D, LF_IMAPD,
# LF_HTACCESS
LF_DISTATTACK = Default: 0 [0-1]

# Set the following to the minimum number of unique IP addresses that trigger
# LF_DISTATTACK
LF_DISTATTACK_UNIQ = Default: 2 [2-20]

Dat heeft er toch niets mee te maken als het vanaf 1 ip adres komt?
Het probleem is dat CSF wel andere login failures banned maar niet IMAP en FTP.

Heb er ook wel eens wat mee lopen stoeien. Wat ik wel eens gehad heb is dat ze nét tussen de interval settings doorslipten, en ik maar denken dat hij de logs niet pakt.

LF_POP3D/LF_IMAPD/LF_INTERVAL zou je kunnen bekijken.

Heb zelf als failsafe de Brute Force Monitor van DA ingeschakeld die dan CSF op zjin beurt weer laat bannen. (zie http://www.webhostingtalk.nl/dedicat...ml#post1240159)

Bedankt Arieh Problem solved.

We gebruiken hier ProFTPd en die worden wel netjes door lfd verwerkt.