Como configurar o Fail2ban para proteger seu servidor Linux

Notícias Digitais » Recursos » Como configurar o Fail2ban para proteger seu servidor Linux

Ter um servidor Linux exposto à rede é essencialmente como colocar um ímã para bots. Se você não configurou nenhuma medida de segurança, provavelmente já tem milhares de tentativas de login falhas em seus registros; existem máquinas automatizadas constantemente tentando combinações de nome de usuário e senha para tentar assumir o controle da sua máquina por meio de ataques de força bruta.

É aí que entra o Fail2ban, uma ferramenta que age como um vigilante incansável. Não é um firewall no sentido estrito, mas sim uma ferramenta que analisa os logs do sistema e, quando detecta alguém tentando invadir, fecha a porta na cara do invasor bloqueando seu endereço IP usando ferramentas como iptables ou nftables. Vamos ver como configurá-lo para tornar seu servidor uma barreira intransponível.

O que exatamente é o Fail2ban e como ele funciona?

Em termos simples, o Fail2ban é um daemon que monitora continuamente os arquivos de log dos seus serviços. Quando encontra padrões suspeitos que correspondem a regras predefinidas, chamadas filtros , ele começa a contabilizar as falhas. Se um endereço IP atingir o limite de tentativas permitidas dentro de um determinado período, o programa executa uma ação , que normalmente envolve adicionar esse endereço IP à lista negra do firewall.

Essas configurações são organizadas em estruturas chamadas "jails" . Uma jail é basicamente um conjunto de regras aplicadas a um serviço específico (como SSH, Apache ou MySQL). Dessa forma, você pode ter uma política muito restritiva para acesso remoto e uma mais permissiva para o servidor web, garantindo que intrusos sejam bloqueados automaticamente sem que você precise verificar os logs manualmente a cada cinco minutos.

Instalação de acordo com sua distribuição Linux.

Dependendo do sistema que você estiver usando, o comando para instalá-lo varia um pouco, mas geralmente está disponível em quase todos os repositórios oficiais.

• No Ubuntu e no Debian: É muito simples, basta correr. sudo apt update seguido de sudo apt install fail2ban.
• No Rocky Linux ou AlmaLinux: Como essas são distribuições corporativas, você precisa primeiro habilitar o repositório EPEL com sudo dnf install epel-release e então instale o pacote com sudo dnf install fail2ban fail2ban-firewalld.
• No Alpine Linux: Use o gerenciador de APK com sudo apk add fail2ban E, como utiliza o OpenRC, você deve habilitá-lo com sudo rc-update add fail2ban default e comece com sudo rc-service fail2ban start.

Configuração principal: O segredo do arquivo .local

Um erro muito comum é editar o arquivo diretamente. jail.confNão faça isso! Esse arquivo pode ser sobrescrito quando você atualizar o sistema. A regra de ouro é criar uma cópia chamada prisão.localQuaisquer parâmetros adicionados a este segundo arquivo terão precedência sobre o original, e suas alterações serão sobrescritas. livre de atualizações.

Para começar, você pode clonar o arquivo original com sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local Em seguida, abra-o com seu editor favorito, como o nano ou o vim. Na seção [PADRÃO] É aqui que você define o comportamento geral do sistema:

• tempo de proibição: O período de tempo em que o endereço IP malicioso permanecerá congelado. Pode ser em segundos ou usando 'm' para minutos (por exemplo, 10m).
• encontrar tempo: O intervalo de tempo em que o Fail2ban verifica erros. Se alguém falhar 5 vezes em uma hora, mas o tempo de detecção for de 10 minutos, essa pessoa não será banida.
• maxretry: O número de tentativas falhas permitidas antes que o sistema diga Chega, bloqueie o IP..
• ignoreip: É essencial evitar se auto-banir. Aqui você deve inserir o seu endereço IP público ou o seu intervalo de VPN.

Protegendo serviços específicos passo a passo

Após configurar as definições gerais, é hora de ativar as proteções (jails) para os serviços que mais lhe interessam. Para que uma proteção funcione, você deve definir enabled = true em sua respectiva seção dentro jail.local.

Acesso SSH (O ponto mais crítico)

A porta 22 é o alvo principal. Uma configuração robusta definiria maxretry = 3 e um bantime = 3600 (uma hora). O Fail2ban lerá o arquivo. /var/log/auth.log (no Debian/Ubuntu) ou / var / log / secure (no CentOS/RHEL) para detectar falhas de autenticação e bloquear o acesso do atacante.

Servidores Web (Apache e Nginx)

Se você possui um site ou loja online, os bots tentarão acessar rotas sensíveis, como... /wp-admin o /login.phpVocê pode criar filtros personalizados em /etc/fail2ban/filter.d/ para detectar esses padrões. Por exemplo, para Proteger WordPressErros 403 ou tentativas falhas são monitorados em wp-login.phpbloqueando o endereço IP caso ele exceda os limites definidos no ambiente restrito do Apache ou Nginx.

Bancos de dados e FTP

Para o MySQL, você pode monitorar o log de erros em busca da frase Acesso negado ao usuárioNo caso de FTP (como o ProFTPD), é vital garantir que o logpath Certifique-se de que o caminho para seus registros corresponda ao caminho real, pois se o Fail2ban não conseguir encontrar o arquivo de registro, a proteção simplesmente não funcionará.

Gerenciamento avançado com fail2ban-client

Nem sempre é preciso editar arquivos e reiniciar o serviço para fazer alterações rápidas. O comando fail2ban-client Permite gerenciar o sistema em tempo real a partir do console.

Para ver quais prisões estão ativas e quantos IPs estão bloqueados, use sudo fail2ban-client statusSe você quiser explorar um serviço mais a fundo, como o SSH, execute sudo fail2ban-client status sshdAlém disso, se por engano Você bloqueou um colega. Ou você pode liberar rapidamente o endereço IP você mesmo com o comando sudo fail2ban-client set sshd unbanip IP_A_DESBLOQUEAR.

Manutenção e resolução de problemas

Se você perceber que o Fail2ban não está bloqueando como deveria, o primeiro lugar a verificar é o arquivo de log da própria ferramenta. /var/log/fail2ban.log. usando tail -f Você pode ver em tempo real quem está sendo banido e por quê.

Lembre-se de que o Fail2ban armazena o status de bloqueio em um banco de dados SQLite. /var/lib/fail2ban/fail2ban.sqlite3Portanto, se você reiniciar o servidor, os IPs que foram banidos serão desbloqueados. permanecerá bloqueado até que seu período de penalidade expire. Sempre que fizer alterações nos arquivos de configuração, não se esqueça de aplicar as alterações com sudo systemctl restart fail2ban.

A implementação desta ferramenta transforma seu servidor de um alvo fácil em uma fortaleza automatizada, reduzindo a carga da CPU ao descartar o tráfego malicioso na camada de rede e permitindo que você durma tranquilo sabendo que bots não conseguirão invadir por força bruta. Combinando o uso de arquivos .local, o gerenciamento de jails específicas e o monitoramento constante de logs, você obtém um sistema de defesa em profundidade essencial para qualquer administrador de sistemas Linux.