security - Ghost（Node 博客引擎）：有没有办法记录失败的登录尝试？

Question

幽灵管理员！

我想保护 Ghost 博客免受可能的暴力登录攻击。

1. 有没有办法用Ghost记录失败的用户登录尝试？

我到处寻找日志，但什么也没找到。（在Nginx / Linux服务器上运行。）。这些失败的登录尝试是否记录在任何地方？

2. 多次尝试失败后是否可以禁止用户？

如果有人可以尝试暴力破解您的管理员登录，那么拥有fail2ban或其他登录保护并不是很好。

Answer 1

Ghost 已经实现了两种我可以看到的登录限制：

• 5 次登录尝试失败时的帐户级别锁定（Github 问题和代码）
• IP 级登录尝试限制 - 每 2 秒最多登录一次尝试（Github 问题和代码）

这些应该是相当安全的；在此基础上实施 fail2ban 可能会提供递减的回报 - 但如果您愿意，失败的登录似乎会生成如下所示的 404 错误，使用这样的规则/var/log/nginx/access.log在 fail2ban 中设置应该不难。

1.2.3.4 - - [10/Mar/2018:00:48:51 +0000] "POST /ghost/api/v0.1/authentication/token HTTP/2.0" 404 366 "http://blog.example.com/ghost/" "[user-agent]"