Друпал не предоставляет встроенной защиты от перебора паролей, а именно перебор один из традиционных способов получения несанкционированного доступа к сайту. Особенно с учётом того, какие простые пароли очень часто используют пользователи. Простейший способ избежать перебора - после нескольких неудачных попыток ввода пароля блокировать дальнейший ввод на некоторое время. Для удалённых систем логично блокировать IP пользователя. Достаточно паузы в несколько минут, чтобы серьёзно затруднить работу программ перебора или вообще сделать перебор нецелесообразным. Для использования такого метода в Drupal несложно написать модуль использующий hook_user() с проверкой количества введённых паролей и в случае их превышения для определённого имени - блокировкой IP или блокировкой ввода пароля на некоторое время. Может быть такой модуль кто-то уже делал? Но оставляю написание этого кода тем кто хочет потренироваться в работе с механизмом регистрации друпала, а в этой статье хочу рассмотреть другой метод, основанный на внешнем п/о.

В юниксе есть такое средство для блокировок перебора паролей - fail2ban. Он работает как демон и анализирует логи различных программ (ssh, ftp, вебсервера и др. определённые в настройках), при обнаружении многократных неудачных попыток входа - принимает меры (опять же как определено в настройках - блокирует ip и/или высылает уведомления админу на почту). Такое системное средство удобно тем, что проверки осуществляются централизованно для всех сервисов хоста и настройки собраны в одном месте. Есть и другие подобные программы, но fail2ban хорошо справляется со своей задачей и имеется в наличии в разных дистрибутивах Linux (Debian, CentOS, Gentoo), во FreeBSD, поэтому я использую всегда его, настраивая как минимум на проверку логов ssh и ftp. Для этого в fail2ban есть готовые конфиги. Но как известно, Drupal c версии 6 умеет писать свои логи не только в базу, но и в системный лог (для этого нужно включить модуль syslog), что даёт возможность анализа такими утилитами как fail2ban. Нужно только объяснить fail2ban какой лог нужно брать и что в нём искать. Это делается несложным указанием конфигурации:

Во-первых создаём в /etc/fail2ban/filter.d/ файл drupal-auth.conf (путь к файлам с фильтрами в сборке fail2ban для вашей ОС может быть другим):

со следующим содержимым (копируйте один к одному):

(и не забудьте для выхода из cat нажать Ctrl+D после копирования в файл текста)

Те кто понимает язык регвыров быстро поймёт, что значит эта запись - мы просто ищем в логе соответствия строкам содержащим Login attempt failed username. - именно это друпал сообщает в лог при ошибочных попытках ввода пароля для username.

Далее в /etc/fail2ban/jail.conf дописываем:

Дополнение: для Debian конфиг в jail.conf будет такой:

Тут нужно только точно знать, куда в вашей системе попадают логи друпала. Обычно это /var/log/messages или /var/log/syslog, но вообще зависит от настроек системного лога и установленного для этого п/о. У меня например на машине, где сейчас это тестирую стоит metalog и логи по-умолчанию попадают в /var/log/everything/current. Лог указывается в параметре logpath, а в параметре action мы указываем реакцию на него. В данном случае это блокирование IP с помощью файрвола iptables для указанного порта 80 (www) и протокола tcp. Адрес атакующего будет забанен на 180 секунд - достаточно чтобы избежать DOS или блокировать перебор.

После перезапуска fail2ban (скорей всего командой /etc/init.d/fail2ban restart) можно смотреть статистику.

Я это пробовал на локальной системе, отсюда такой адрес - 127.0.0.14. Фиксируется каждая неудачная попытка ввода пароля, и если их число превышает 6 (это число задаётся в конфиге fail2ban) - адрес атакующего временно блокируется.

В тему: метод выбора запоминающихся паролей.