Comment réduire les faux positifs d'une règle de brute force SSH ?
Posée par Sam Premium·il y a 21 jours· 35 vue(s)
1
Ma règle se déclenche dès 5 échecs, y compris quand un collègue se trompe de mot de passe. Comment l'affiner ?
1 réponse(s)
- 3
Réponse acceptée
Quelques leviers :
- Agréger par source sur une fenêtre (ex. 20 échecs en 5 min).
- Exclure les réseaux d'administration connus (avec prudence).
- Créer une règle distincte, critique, pour « échecs puis succès » depuis la même source : c'est elle qui compte vraiment.
- Mesurer le taux de vrais positifs chaque mois et ajuster.