Bonjour, à tous,
Mon serveur est en train de subir une attaque brute force sur le serveur Mysql
J'ai cherché dans google, mais je n'ai trouvé aucune info sur ce genre d'attaque.
mon log mysql est rempli depuis la nuit dernière de milliers de :
080416 16:57:57 286051 Connect Accès refusé pour l'utilisateur: 'root'@'@proxy.marin.k12.ca.us' (mot de passe: OUI)
080416 16:57:58 286052 Connect Accès refusé pour l'utilisateur: 'root'@'@proxy.marin.k12.ca.us' (mot de passe: OUI)
080416 16:57:59 286053 Connect Accès refusé pour l'utilisateur: 'root'@'@proxy.marin.k12.ca.us' (mot de passe: OUI)
080416 16:58:01 286054 Connect Accès refusé pour l'utilisateur: 'root'@'@proxy.marin.k12.ca.us' (mot de passe: OUI)
au rythme d'un par seconde.
l'hôte proxy.marin.k12.ca.us n'étant ni "pingable", ni "resolvable", j'ai du utiliser iptraf pour identifier l'ip 137.164.143.114 à l'origine des connexions sur le port 3306 de ma machine et enfin la bloquer à la main par iptables.
Je cherche dans la doc de Mysql si il n'y a pas une option pour rejeter une machine après un certain nombre de connexions infructueuses, mais je ne trouve rien... Enfin si, j'ai bien trouvé le paramètre "max connect errors" mais il ne doit pas s'appliquer dans ce cas puisque bien que configuré à 10, des milliers de tentatives ont eu lieu sans le moindre blocage.
Je suppose, qu'il est possible de configurer fail2ban pour qu'il scrute le log mysql, mais le problème dans mon cas est que le nom d'hôte proxy.marin.k12.ca.us n'était pas "resolvable", et sans ip pas de blocage iptable possible.
Je m'étonne vraiment que MySQL de dispose pas d'origine d'un mécanisme permettant de faire avorter rapidement une telle attaque...
Ou alors j'ai raté quelque chose ?
Partager