Hur man ställer in Fail2Ban på CentOS

Introduktion till Fail2Ban

Som standard ansluter en klient till SSH med port 22. Eftersom detta är en välkänd port är standardkonfigurationen sårbar för många brute force-attacker. Fail2Ban är en lösning för att automatiskt skydda en server från dessa attacker. Programmet körs i bakgrunden, skannar loggfilerna för att upptäcka vilka IP-adresser som attackerar och förbjuder dem automatiskt att komma åt SSH.

Installerar Fail2Ban

I den här handledningen kommer vi att installera Fail2Ban på CentOS 6 genom EPEL-förvaret. Kör följande kommandon.

yum install epel-release
yum install fail2ban

Förklaring

• yum install epel-release: Installerar EPEL-förvaret (Extra Packages for Enterprise Linux).
• yum install fail2ban: Installerar Fail2Ban från EPEL-förvaret.

Konfigurera Fail2Ban-inställningarna

Öppna Fail2Ban-konfigurationsfilen.

nano /etc/fail2ban/jail.conf

I filen kommer du att se några parametrar som visas nedan. Justera något av värdena efter dina behov.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Förklaring

• ignoreip: Förbjud inte värdar som matchar en adress i den här listan. Flera adresser kan definieras med blankstegsavgränsare. Skriv din personliga IP på den här raden.
• bantime: Antalet sekunder som en värd är förbjuden.
• findtime: En värd är förbjuden om den har genererats maxretryunder den senaste findtime.
• maxretry: Antalet misslyckanden innan en värd förbjuds.

Konfigurerar Fail2Ban för att skydda SSH

Först måste vi skapa en konfigurationsfil.

nano /etc/fail2ban/jail.local

Kopiera raderna nedan och klistra in i filen.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]
logpath  = /var/log/secure
maxretry = 5

• enabled: Aktivera skyddet. Om du vill stänga av den ändrar du värdet till false.
• filter: Som standard är den inställd på sshd som refererar till filen /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban kommer att blockera IP-adressen som matchar filtret /etc/fail2ban/action.d/iptables.conf. Om du hade ändrat SSH-porten tidigare, byt port=sshtill den nya porten, till exempel port=2222. Om du använder port 22 behöver du inte ändra värdet.
• logpath: Sökvägen till loggfilen som används av Fail2Ban.
• maxretry: Det maximala antalet misslyckade inloggningsförsök.

Startar upp Fail2Ban-tjänsten

Kör dessa två kommandon nedan för att starta Fail2Ban-tjänsten:

chkconfig --level 23 fail2ban on
service fail2ban start

Slutligen, kontrollera iptablesom den har reglerna som lagts till av Fail2Ban.

iptables -L

Resultatet kommer att se ut som det här resultatet.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Hur man spårar misslyckade inloggningsförsök

Du kan använda detta kommando för att kontrollera om din server har haft misslyckade inloggningsförsök (möjliga attacker).

cat /var/log/secure | grep 'Failed password'

Resultatet kommer att se ut som dessa linjer.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

För att se vilka IP-adresser som har förbjudits, använd följande kommando.

iptables -L -n

För att ta bort en IP-adress från förbjudna lista, kör följande kommando. Ändra banned_iptill den IP som du vill ta bort ban.

iptables -D f2b-SSH -s banned_ip -j DROP