Fail2Ban Howto: заблокировать IP-адрес, используя Fail2ban и IPTables

Fail2Ban Howto: заблокировать IP-адрес, используя Fail2ban и IPTables

Сеть

Fail2ban сканирует файлы журналов для различных служб (SSH, FTP, SMTP, Apache и т. Д.) И блокирует IP-адрес, который вызывает слишком много сбоев пароля. Он также обновляет правила брандмауэра, чтобы отклонить эти IP-адреса.

Fail2ban – это среда предотвращения вторжений, написанная на языке программирования Python.

Основная цель Fail2ban – предотвращать атаки с использованием грубой силы.

Установить Fail2ban

Чтобы установить fail2ban из исходного кода, загрузите его из sourceforge .

Используйте apt-get для установки Fail2ban в системе на основе Debian, как показано ниже.

  # apt-get install fail2ban

Вы также можете установить Fail2ban вручную, загрузив пакет deb2 fail2ban .

  # dpkg -i fail2ban_0.10.2-2.1_all.deb

Как настроить fail2ban

Все файлы конфигурации Fail2ban находятся в каталоге /etc/fail2ban.

/etc/fail2ban/fail2ban.conf

Основное назначение этого файла – настроить директивы, относящиеся к журналу fail2ban.

Loglevel: установить выход уровня журнала.
logtarget: укажите путь к файлу журнала

Действия, предпринятые Fail2ban, регистрируются в файле /var/log/fail2ban.log. Вы можете изменить многословие в файле conf на одно из: 1 – ОШИБКА, 2 – ПРЕДУПРЕЖДЕНИЕ, 3 – ИНФОРМАЦИЯ или 4 – ОТЛАДКА.

/etc/fail2ban/jail.conf

Файл jail.conf содержит объявление конфигураций сервиса. Этот файл конфигурации разбит на разные контексты. Настройки DEFAULT применяются ко всем разделам.

В следующем разделе DEFAULT файла jail.conf говорится, что после пяти неудачных попыток доступа с одного IP-адреса в течение 600 секунд или 10 минут (время поиска) этот адрес будет автоматически заблокирован на 600 секунд (время запрета).

[DEFAULT]
ignoreip = 127.0.0.1
maxretry = 5
findtime = 600
bantime = 600

ignoreip: Это список разделенных пробелами IP-адресов, которые не могут быть заблокированы fail2ban.
maxretry: максимальное количество неудачных попыток входа в систему до того, как хост заблокирован fail2ban.
bantime: время в секундах, в течение которого хост блокируется, если он был пойман fail2ban (600 секунд = 10 минут).

Сервисные конфигурации

По умолчанию некоторые сервисы вставляются как шаблоны. Ниже приведен пример раздела служб ssh.

[ssh]
enabled = true
port	= ssh
filter	= sshd
logpath  = /var/log/auth.log
action = iptables

enabled: включить проверку fail2ban для службы ssh
port: сервисный порт (указанный в файле /etc/services)
filter: имя фильтра, который будет использоваться службой для обнаружения совпадений. Это имя соответствует имени файла в /etc/fail2ban/filter.d; без расширения .conf. Например: «filter = sshd» относится к «/etc/fail2ban/filter.d/sshd.conf».
logpath: файл журнала, который fail2ban проверяет на неудачные попытки входа в систему.
action: эта опция указывает fail2ban, какое действие предпринять, когда фильтр соответствует. Это имя соответствует имени файла в /etc/fail2ban/action.d/ без расширения .conf. Например: ‘action = iptables’ относится к /etc/fail2ban/action.d/iptables.conf ‘.

Fail2ban будет отслеживать файл /var/log/auth.log на предмет неудачных попыток доступа, и если он обнаружит повторные неудачные попытки входа в систему через ssh с того же IP-адреса или хоста, fail2ban останавливает дальнейшие попытки входа с этого IP-адреса / хоста, блокируя его с помощью fail2ban правило брандмауэра iptables.

Fail2ban Фильтры

Каталог /etc/fail2ban/filter.d содержит регулярные выражения, которые используются для обнаружения попыток взлома, сбоя пароля и т. д. Для различных служб.

Например:

sshd.conf – Fail2ban ssh связанные фильтры
apache-auth.conf – Fail2ban фильтры службы apache

Мы также можем добавить наше собственное регулярное выражение для поиска нежелательных действий.

Fail2ban Действия

Каталог /etc/fail2ban/action.d содержит различные сценарии, определяющие действия, которые будут выполняться при совпадении фильтра. Для каждой услуги разрешен только один фильтр, но можно указать несколько действий в отдельных строках.

Например:

IPtables.conf – блокировать и разблокировать IP-адрес
Mail.conf – отправка почты настроенному пользователю

Запуск / остановка службы Fail2ban

После внесения изменений в конфигурацию остановите и запустите демон Fail2ban, как показано ниже.

 # /etc/init.d/fail2ban stop

 # /etc/init.d/fail2ban start

ADMINS24