Como lidar com um alarme de ataque de força bruta?

Mapa de ideias para solução de problemas

O mapa de ideias a seguir descreve como lidar com um alarme de ataque de força bruta.

Figura 1 Mapa de ideias para solução de problemas

Lidar com o alarme de um ataque de força bruta bem-sucedido

Se você recebeu uma notificação de alarme indicando que sua conta foi invadida, é aconselhável reforçar os seus servidores o mais rápido possível.

1. Faça logon no console de gerenciamento.
2. No canto superior esquerdo da página, selecione uma região, clique em e escolha Security & Compliance > Host Security Service.
   Figura 2 Acessar o HSS
   

3. Verifique se o endereço IP que acionou o alarme é válido.
   Escolha Detection > Alarms. Na área Event Types, escolha Abnormal User Behavior > Abnormal logins e verifique o endereço IP de logon.

   • Se o endereço IP for de um usuário normal (por exemplo, quem digitou a senha incorreta por várias vezes, mas fez logon antes de sua conta ser bloqueada), seu servidor não será invadido. Nesse caso, você pode clicar em Handle e ignorar o evento.
   • Se o endereço IP for inválido, o seu servidor pode ter sido invadido.

     Nesse caso, marque esse evento como tratado, faça logon no servidor invadido e altere sua senha para uma mais forte. Para mais detalhes, consulte Como definir uma senha segura?

   Figura 3 Logons anormais
   

4. Verifique e elimine programas maliciosos.
   Escolha Malware > Malicious programs e verifique eventos de alarme.

   • Se você encontrar programas maliciosos implementados em seus servidores, localize-os com base em seus caminhos de processo, usuários que os executam e tempo de inicialização.

     Para eliminar um programa malicioso em um evento de alarme, clique em Handle na linha deste evento e selecione Isolate and kill.

   • Se você confirmou que todos os alarmes do programa malicioso são falsos, vá para Etapa 8.

5. Verifique se existem registos de alterações de contas suspeitos.

   Escolha Asset Management > Asset Fingerprints e clique na guia Account Information. Detecte registros de alteração de conta suspeitos para impedir que invasores criem contas ou aumentem permissões de conta (por exemplo, adicionar permissões de logon a uma conta). Para obter detalhes, consulte Verificação do histórico da operação.

6. Verifique e lide com contas inválidas.

   Escolha Detection > Alarms. Escolha Abnormal User Behavior > Invalid accounts para visualizar e lidar com os alarmes de contas inválidas. Para obter detalhes, consulte Tratamento de alarmes do servidor.

7. Verifique e corrija configurações inseguras.

   Verifique e corrija políticas de complexidade de senha fraca e configurações de software inseguras em seus servidores. Para obter detalhes, consulte Sugestões sobre como corrigir configurações inseguras.

8. Reforce os seus servidores.
   • Para obter mais informações, consulte Reforço da segurança para logons SSH em ECSs de Linux.

Lidar com o alarme de um ataque de força bruta bloqueado

Se você ativou uma edição superior ao HSS básico, o HSS protegerá seus servidores contra ataques de força bruta.

Você pode configurar uma política de segurança de logon para especificar o modo de determinação de quebra por força bruta e a duração do bloqueio. Para obter detalhes, consulte Verificação de segurança de logon.

Se você não tiver configurado nenhuma política de detecção de segurança de logon, será usada a seguinte política de segurança de logon padrão: o HSS bloqueará um endereço IP se ele tiver cinco ou mais tentativas de ataque de força bruta detectadas em 30 segundos ou 15 ou mais tentativas de ataque de força bruta detectadas em 3.600 segundos.

Se você receber um alarme indicando que um endereço IP de origem de ataque está bloqueado, verifique se o endereço IP de origem é um endereço IP confiável.

Procedimento

1. Faça logon no console de gerenciamento.
2. No canto superior esquerdo da página, selecione uma região, clique em e escolha Security & Compliance > Host Security Service.
   Figura 4 Acessar o HSS
   

3. Escolha Detection > Alarms. Escolha Abnormal User Behavior > Brute-force attacks para visualizar eventos de força bruta da conta.
   Alarmes de ataque de força bruta serão gerados se:

   • O sistema que usa senhas fracas, estiver a ser alvo de ataques de força bruta e os endereços IP dos atacantes estiverem bloqueados.
   • Os usuários não conseguirem fazer logon após várias tentativas de senha incorreta e os seus endereços IP forem bloqueados.
   Figura 5 Ataques de força bruta
   

4. Verifique se o endereço IP de logon que aciona o alarme é válido.
   • Se o endereço IP for válido,
     • Para lidar com um alarme falso, clique em Handle na linha do evento de alarme. Ignore ou coloque o endereço IP na lista branca.

       Isso não desbloqueia o endereço IP.

     • Para desbloquear o endereço IP, clique em View Details em Blocked IP Addresses, selecione o endereço IP e desbloqueie-o. Alternativamente, você pode apenas esperar que ele seja desbloqueado automaticamente quando sua duração de bloqueio expirar.

       Por padrão, os invasores SSH suspeitos são bloqueados por 12 horas. Outros tipos de invasores suspeitos são bloqueados por 24 horas.

   • Se o endereço IP de origem for inválido ou desconhecido,

     Marque esse evento como tratado.

     Imediatamente faça logon no seu servidor e altere sua senha para uma mais forte. Também é possível melhorar a defesa contra ataques de força bruta seguindo as instruções fornecidas em Como me defender contra ataques de força bruta?

Links úteis

• Como o HSS intercepta ataques de força bruta?
• Como desbloquear um endereço IP?