Fail2Bani seadistamine CentOS-is

Fail2Bani tutvustus

Vaikimisi loob klient ühenduse SSH-ga, kasutades porti 22. Kuna see on hästi tuntud port, on vaikekonfiguratsioon haavatav paljude jõhkra jõu rünnakute suhtes. Fail2Ban on lahendus serveri automaatseks kaitsmiseks nende rünnakute eest. Programm töötab taustal, skannib logifaile, et tuvastada, millised IP-d ründavad, ja keelab neil automaatselt juurdepääsu SSH-le.

Fail2Bani installimine

Selles õpetuses installime Fail2Bani süsteemi CentOS 6 EPEL-i hoidla kaudu. Käivitage järgmised käsud.

yum install epel-release
yum install fail2ban

Selgitus

• yum install epel-release: installib EPEL-i hoidla (lisapaketid Enterprise Linuxile).
• yum install fail2ban: installib Fail2Bani EPEL-i hoidlast.

Fail2Bani sätete konfigureerimine

Avage Fail2Ban konfiguratsioonifail.

nano /etc/fail2ban/jail.conf

Failis näete mõningaid parameetreid, nagu allpool näidatud. Kohandage mis tahes väärtust vastavalt oma vajadustele.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Selgitus

• ignoreip: ärge blokeerige hoste, mis vastavad selles loendis olevale aadressile. Tühiku eraldaja abil saab määrata mitu aadressi. Kirjutage sellele reale oma isiklik IP.
• bantime: sekundite arv, mille jooksul host on keelatud.
• findtime: Host on keelatud, kui see on genereeritud maxretryviimase aja jooksul findtime.
• maxretry: tõrgete arv enne hosti blokeerimist.

Fail2Bani konfigureerimine SSH kaitsmiseks

Esiteks peame looma konfiguratsioonifaili.

nano /etc/fail2ban/jail.local

Kopeerige allolevad read ja kleepige faili.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, [email protected]]
logpath  = /var/log/secure
maxretry = 5

• enabled: kaitse aktiveerimine. Kui soovite selle välja lülitada, muutke väärtuseks false.
• filter: vaikimisi on see sshd, mis viitab failile /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban keelab filtrile vastava IP-aadressi /etc/fail2ban/action.d/iptables.conf. Kui olete SSH-porti varem muutnud, vahetage port=sshnäiteks uus port port=2222. Kui kasutate porti 22, ei pea te väärtust muutma.
• logpath: Fail2Bani kasutatava logifaili tee.
• maxretry: ebaõnnestunud sisselogimiskatsete maksimaalne arv.

Teenuse Fail2Ban käivitamine

Teenuse Fail2Ban käivitamiseks käivitage need kaks allolevat käsku:

chkconfig --level 23 fail2ban on
service fail2ban start

Lõpuks kontrollige iptables, kas sellele on Fail2Bani lisatud reeglid.

iptables -L

Tulemus näeb välja sarnane selle väljundiga.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Kuidas jälgida ebaõnnestunud sisselogimiskatseid

Selle käsu abil saate kontrollida, kas teie serveril on ebaõnnestunud sisselogimiskatsed (võimalikud rünnakud).

cat /var/log/secure | grep 'Failed password'

Tulemus näeb välja sarnane nende joontega.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

Et näha, millised IP-d on keelatud, kasutage järgmist käsku.

iptables -L -n

IP-aadressi kustutamiseks keelatud loendist käivitage järgmine käsk. Muuda banned_ipIP, et soovite tühista.

iptables -D f2b-SSH -s banned_ip -j DROP