OK, může být a asi i je. Pak ale neříkejte, že děláte správné řešení, ale řešení, které za dané peníze umíte udělat a pan Jirsák má pravdu. Takto to vypadá, že fail2ban je správné řešení, ne není, je ale relativně jednoduché a levné, můžete v případě problémů vykázat činnost, že jste pro ochranu něco udělali, že je to řešení, které používá většin, atd., ale pořád to nebude správné řešení.
Když si přečtete moje posty od začátku, tak od začátku je vepsaná podmínka / předpoklad, že se jedná o menší zlo, než nezavádět žádné řešení tam, kde prostě ideálního stavu dosáhnout nemůžete. Další, co jsem vepisoval bylo, že blokaci je nutné nastavit jen na nutně krátkou dobu (než útok přejde - bývají to desítky minut), a blokaci co nejvíc cílit na konkrétní službu, ne na celý server.
Správné řešení = já za
správné považuji optimum. Za
optimum musím považovat to, co jsem schopný reálně zavést. V první řadě je nutné snažit se mít vše zafixované. V druhé řadě vybrat technologie, které se dají v dané situaci udržet. Ve třetí řadě mít zpětný vliv na samotný vývoj aplikace.
Bohužel, v praxi vývoj s administrátory moc nespolupracuje. Vývoj splní funkční požadavky, které jsou zároveň akceptačními kritérii. Mimofunkční požadavky se už nikdo moc nežene vyhodnocovat, a všichni v řetězci si následné problémy přehazují jako horký brambor. Ve chvíli, kdy vývoj nepracuje kooperativně, ale alibisticky a konfrontačně, pak adminovi nezbývá akceptovat pravidla hry.
Projektů, kde si můžete dovolit dělat věci lépe, těch je bohužel jen zlomek.
Vaší pozornosti ještě předkládám projekt
https://fe.nix.cz/ sdružení NIX, který má za cíl v případech DDoS útoků odříznout dokonce celé AS, u kterých správci neakceptují určitou úroveň zabezpečení, správy a podpory. Kdybyste se na to díval tak přísně, jak píšete, musel byste tento projekt také odsoudit. Ale myslím, že pány z NIX nepodezíráte z toho, že by to byli úplní pitomci, ne?
85 Odpovědí
11936 Zhlédnutí