Ghost（節點博客引擎）：有沒有辦法記錄失敗的登錄嘗試？

Question

Ghost管理員！

我想保護Ghost博客可能的蠻力登錄攻擊。

1. 有什麼辦法來登錄失敗的用戶登錄嘗試與鬼？

我到處尋找日誌，沒有發現任何東西。 （運行於Nginx/Linux服務器。）。這些失敗的登錄嘗試，甚至登錄到任何地方？

1. 是否有可能禁止用戶多次失敗嘗試後？

有的fail2ban或其它登錄保護不是多好，如果有人可以嘗試蠻力您的管理員登錄。

Answer 1

幽靈已經實現了兩種類型的登錄限制，我可以看到：

• 帳戶級別鎖定在5失敗的登錄嘗試（Github issue和code）
• IP級別的登錄嘗試限制 - 最大之一登錄嘗試每2秒（Github issue和code）

這些應該是合理的安全;在此基礎上實現fail2ban可能會帶來收益遞減 - 但是如果您願意，失敗的登錄會出現如/var/log/nginx/access.log中的以下404錯誤，使用this之類的規則在fail2ban中設置應該不會很難。

1.2.3.4 - - [10/Mar/2018:00:48:51 +0000] "POST /ghost/api/v0.1/authentication/token HTTP/2.0" 404 366 "http://blog.example.com/ghost/" "[user-agent]"