Protegendo o PHPmyadmin no ambiente Ubuntu-Nginx-https sem alteração de URL ou tmux

Question

Minhas formas atuais de proteger o PHPmyadmin (PMA), especialmente os BFAs (Brute Force Attacks) no meu ambiente ubuntu-nginx-https , são um ou mais destes:

1) Alterando a localização do diretório PMA para algo com fio e difícil de adivinhar.

2) Faça login a partir de um IP permanente.

3) Faça login por meio de uma VPN reconhecida ( _{é uma edição devido a comentários abaixo} ).

4) Execução do PMA temporariamente em uma sessão tmux separada:

cat <<-"PHPMYADMIN" > /opt/pma.sh
    #!/bin/bash
    find /var/www/html -iname '*phpmyadmin*' -exec rm -rf {} \;
    cd /var/www/html && wget https://www.phpmyadmin.net/downloads/phpMyAdmin-latest-all-languages.zip
    find /var/www/html -type f -iname '*phpmyadmin*.zip' -exec unzip {} \;
    find /var/www/html -type d -iname 'phpmyadmin-*' -exec mv {} phpmyadmin \;

    sleep 2h

    find /var/www/html -iname '*phpmyadmin*' -exec rm -rf {} \;
    tmux kill-session
PHPMYADMIN
chmod +x /opt/pma.sh

cat <<-"BASHRC" >> /etc/bash.bashrc
    alias pma="tmux new-session -d 'bash /opt/pma.sh'"
BASHRC
source /etc/bash.bashrc

então:

pma # execute script and use pma for 2 hours.

Por que não me sinto confortável usando essas formas

1. E se alguém encontrar o caminho PMA não intuitivo com fio, ele ainda pode tentar forçá-lo a força bruta.

2. Eu não posso permitir isso. Eu poderia me mover entre os apartamentos às vezes.

3. Esta pode ser uma boa opção, embora possa ser avassaladora para essa finalidade (não tenho outros usos de VPN nessa época).

4. Esse script é bastante pesado e aumenta o script NSG (Nginx Server Environment Setup) já muito longo.

Minha pergunta

O que mais resta para proteger o PMA do ataque de força bruta no meu ambiente ubuntu-nginx-https ?

    

Answer 1

A documentação tem uma seção sobre " Protegendo sua instalação do phpMyAdmin "para o qual você deve se referir para mais detalhes.

Meus favoritos:

1. Alterar para um nome de diretório não óbvio é uma maneira simples de reduzir bastante os ataques de força bruta. Os invasores têm uma variedade deles, do / phpmyadmin / para /phpMyAdmin-4.7.7/ e assim por diante, mas se você escolher algo que faça sentido para você, mas não seja óbvio para um bot tentar, você será realmente reduz seu vetor de ataque.
2. Usando o registro de autenticação que fará parte do phpMyAdmin 4.8.0 (* veja nota de rodapé), você pode permitir que ferramentas especializadas como o Fail2Ban façam a detecção e o bloqueio.
3. Você pode ativar a autenticação de dois fatores , começando com phpMyAdmin 4.8.0 *.
4. O uso de um Captcha pode reduzir bastante a eficácia de um ataque de força bruta. Veja este e isto para as diretivas de configuração.

* 4.8.0 ainda não está liberado a partir de quando eu estou escrevendo isso, mas os instantâneos de desenvolvimento são geralmente bastante estáveis.