Fail2ban
A program egyszerű és mégis nagyszerű. Elemzi a rendszer és a főbb szolgáltatások logjait, ezekben megadott mintákra keres, például azokra, amikor valaki helytelen névvel/jelszóval próbál bejelentkezni. Megadott sikertelen próbálkozás után pedig automatikusan hozzáadja a támadó IP címét az iptables (vagy egyéb tűzfal) ban listájához, ergo nem fog tudni többet próbálkozni addig, míg le nem telik a kitiltás ideje, amit szintén mi szabunk meg. Ideális a brute force betörések megelőzésére. Sokan azt hiszik elég csak az alapértelmezett portokat áthelyezni, de ez csak ideig-óráig megoldás, hamarosan újra fognak kezdődni a támadások.
A támogatott programok, melyek logjait elemzi: sshd, apache, qmail, proftpd, vsftpd, wuftpd, postfix, couriersmtp, sasl
Telepítés Debian alatt mindössze csak ennyi:
# apt-get install fail2ban
Természetesen lehet kódból is fordítani, az pedig ITT érhető el.
Ezután nincs is más dolgunk, mint átfutni az alapvető beállításokat és megadni, hogy mire szeretnénk aktívvá tenni a figyelést:
# nano /etc/fail2ban/jail.conf
ignoreip = IP vagy DNS, amelyet hagyjon figyelmen kívül, 127.0.0.1 értelemszerűen
bantime = az idő, amire bannolásra kerül az IP. Legyen 900
maxretry = a sikertelen próbálkozások száma, ami után kiosztásra kerül a ban. Legyen 3
destemail = érvényes e-mail cím
Lentebb görgetünk és elkezdődik a figyelni kívánt folyamatok listája. Amit monitorozni szeretnénk, annál az „enabled” után levő „false” szót cseréljük ki „true”-ra. Természetesen nem kell mindent bekapcsolni csak azt, amit telepítettél és használsz. Ha megvan, akkor mentsd el a változtatásokat (ctrl + o) majd indítsd újra a Fail2ban-t.
# /etc/init.d/fail2ban restart
A program működését figyelemmel kísérheted, ha a /var/log/fail2ban.log fájlt megnyitod. Amennyiben tisztességesen teszi a dolgát ilyesmit kell látnod:
2009-12-06 19:44:55,850 fail2ban.actions: WARNING [ssh] Ban 80.16.181.212
2009-12-06 19:59:55,889 fail2ban.actions: WARNING [ssh] Unban 80.16.181.212
2009-12-06 20:42:16,986 fail2ban.actions: WARNING [ssh] Ban 83.13.245.58
2009-12-06 20:57:17,098 fail2ban.actions: WARNING [ssh] Unban 83.13.245.58
2009-12-07 13:48:50,582 fail2ban.actions: WARNING [ssh] Ban 83.170.106.142
2009-12-07 14:03:50,673 fail2ban.actions: WARNING [ssh] Unban 83.170.106.142
A program tudása nem ér véget itt, a vállalkozó kedvűek saját szűrési feltételeket is hozzáadhatnak, így szinte mindegyik program logjának figyelésére képessé válik.
A cikk még nem ért véget, kérlek, lapozz!
