Плейбук: подбор паролей на VPN и SSH до входа

Остановите подбор на своих VPN и SSH, пока нет подтверждённого входа: журнал отказов, блок источника, проверка что учётка жива. Успешный чужой вход — обзорный сценарий учётки: компрометация учётки. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Подбирать пароли и сканировать чужие адреса нельзя.

Признаки и что не делать

Пачки отказов в auth.log или журнале VPN, fail2ban/CrowdSec срабатывает, Wazuh на перебор. Не открывайте 22 в интернет «чтобы посмотреть». Не отвечайте сканеру. Не блокируйте весь офисный NAT без разбора.

Первые шаги

На своём SSH-сервере, если стоит fail2ban:

sudo fail2ban-client status sshd

Ожидаемо: Currently failed и Banned IP list. Инструмент: CrowdSec и fail2ban. Проверьте, что среди успешных входов нет чужих. Если успешный вход с неизвестного адреса есть — переходите к сценарию учётки, этот плейбук кончился.

22 с интернета закройте: только jump-хост и сегмент управления: jump-хост. VPN — свои резолверы и MFA, не «открытый 51820 всему миру» без списка. Приоритет: средний, пока входа нет; высокий, если цель — привилегированная учётка и лимит попыток не включён. Эскалация к суткам только при успехе.

Диагностика

Симптом	Причина и что делать
Банят офис	NAT. Белый список своих сетей, не отключение jail
Подбор есть, журнала нет	Не пишут failure. Политика журналов: какие события писать

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). fail2ban режет шум. Плейбук отличает шум от взломанной учётки.