- Implementácia systému dynamického blokovania IP adries na základe analýzy prístupových protokolov.
- Použitie konfiguračných súborov .local na zabránenie straty nastavení počas aktualizácií systému.
- Viackanálová ochrana pre kritické služby, ako sú SSH, webové servery, databázy a FTP.
- Správa zákazov a odblokovaní v reálnom čase pomocou nástroja príkazového riadka fail2ban-client.
Mať Linuxový server vystavený sieti je v podstate ako prilákať botov. Ak ste nenastavili žiadne bezpečnostné opatrenia, pravdepodobne už máte v protokoloch tisíce neúspešných pokusov o prihlásenie; existujú automatizované stroje, ktoré neustále skúšajú kombinácie používateľského mena a hesla, aby sa pokúsili prevziať kontrolu nad vaším počítačom prostredníctvom útokov hrubou silou.
Tu prichádza na rad Fail2ban, nástroj, ktorý funguje ako neúnavný strážny pes. Nie je to firewall v najprísnejšom zmysle slova, ale skôr analyzuje systémové protokoly a keď zistí, že sa niekto pokúša vniknúť násilím, zabuchne mu dvere pred nosom zablokovaním jeho IP adresy pomocou nástrojov ako iptables alebo nftables. Pozrime sa, ako ho nakonfigurovať tak, aby bol váš server tvrdým orieškom.
Čo presne je Fail2ban a ako funguje?
Zjednodušene povedané, Fail2ban je démon, ktorý nepretržite monitoruje súbory denníka vašich služieb. Keď nájde podozrivé vzory, ktoré zodpovedajú preddefinovaným pravidlám nazývaným filtre , začne počítať zlyhania. Ak IP adresa dosiahne limit povolených pokusov v určitom čase, program vykoná akciu , ktorá zvyčajne zahŕňa pridanie tejto IP adresy na čiernu listinu firewallu.
Tieto konfigurácie sú organizované do takzvaných väzení . Väzenie je v podstate súbor pravidiel aplikovaných na konkrétnu službu (napríklad SSH, Apache alebo MySQL). Týmto spôsobom môžete mať veľmi prísne pravidlá pre vzdialený prístup a tolerantnejšie pravidlá pre webový server, čím zabezpečíte, že votrelci budú automaticky blokovaní bez toho, aby ste museli manuálne kontrolovať protokoly každých päť minút.
Inštalácia podľa vašej distribúcie Linuxu
V závislosti od používaného systému sa príkaz na jeho inštaláciu mierne líši, ale vo všeobecnosti je dostupný takmer vo všetkých oficiálnych repozitároch.
- V Ubuntu a Debiane: Je to veľmi jednoduché, stačí len bežať
sudo apt updatenasledujesudo apt install fail2ban. - V systéme Rocky Linux alebo AlmaLinux: Keďže ide o podnikové distribúcie, musíte najprv povoliť repozitár EPEL pomocou
sudo dnf install epel-releasea potom nainštalujte balík pomocousudo dnf install fail2ban fail2ban-firewalld. - V Alpine Linuxe: Použite správcu súborov APK s
sudo apk add fail2banA keďže používa OpenRC, musíte ho povoliť pomocousudo rc-update add fail2ban defaulta začnite s týmsudo rc-service fail2ban start.
Hlavná konfigurácia: Tajomstvo súboru .local
Veľmi častou chybou je priama úprava súboru. jail.confNerobte to! Tento súbor sa môže pri aktualizácii systému prepísať. Zlatým pravidlom je vytvoriť kópiu s názvom jail.localVšetky parametre, ktoré pridáte do tohto druhého súboru, budú mať prednosť pred originálom a vaše zmeny budú prepísané. v bezpečí pred aktualizáciami.
Na začiatok môžete naklonovať pôvodný súbor pomocou sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local a potom ho otvorte vo svojom obľúbenom editore, ako napríklad nano alebo vim. V sekcii [VÝCHODNÉ] Tu definujete celkové správanie systému:
- zákaz: Doba, počas ktorej zostane škodlivá IP adresa zmrazená. Môže to byť v sekundách alebo pomocou „m“ pre minúty (napr. 10 min).
- nájsť čas: Časový interval, v ktorom Fail2ban kontroluje chyby. Ak niekto zlyhá 5-krát za hodinu, ale čas vyhľadávania je 10 minút, nebude zablokovaný.
- maximálny opakovaný pokus: Počet neúspešných pokusov povolených predtým, ako systém oznámi Dosť a zablokuj IP adresu.
- ignoreip: Dôležité, aby ste sa vyhli zablokovaniu seba samého. Tu musíte zadať svoje verejná IP adresa alebo váš rozsah VPN.
Ochrana konkrétnych služieb krok za krokom
Keď sú všeobecné nastavenia nakonfigurované, je čas aktivovať väznice pre služby, ktoré vás najviac zaujímajú. Aby ochrana fungovala, musíte nastaviť enabled = true v príslušnej časti v rámci jail.local.
Prístup cez SSH (najdôležitejší bod)
Port 22 je cieľom číslo jeden. Robustná konfigurácia by definovala maxretry = 3 a bantime = 3600 (jedna hodina). Fail2ban prečíta súbor. /var/log/auth.log (na Debiane/Ubuntu) alebo / Var / log / bezpečné (v systémoch CentOS/RHEL) na detekciu zlyhaní autentifikácie a zablokovanie prístupu útočníkovi.
Webové servery (Apache a Nginx)
Ak máte webovú stránku alebo internetový obchod, roboty sa pokúsia získať prístup k citlivým trasám, ako napríklad /wp-admin o /login.phpMôžete si vytvoriť vlastné filtre v /etc/fail2ban/filter.d/ na odhalenie týchto vzorcov. Napríklad na Chráňte WordPressChyby 403 alebo neúspešné pokusy sú monitorované v wp-login.php, blokovanie IP adresy, ak prekročí limity nastavené vo väzení Apache alebo Nginx.
Databázy a FTP
V prípade MySQL môžete sledovať protokol chýb pre frázu Prístup bol používateľovi zamietnutýV prípade FTP (ako napríklad ProFTPD) je nevyhnutné zabezpečiť, aby logpath zhodujte skutočnú cestu k vašim protokolom, pretože ak Fail2ban nedokáže nájsť súbor protokolu, ochrana jednoducho nebude fungovať.
Pokročilá správa s fail2ban-clientom
Na vykonanie rýchlych zmien nemusíte vždy upravovať súbory a reštartovať službu. Príkaz fail2ban-client Umožňuje vám spravovať systém za chodu z konzoly.
Ak chcete zistiť, ktoré väznice sú aktívne a koľko IP adries je blokovaných, použite sudo fail2ban-client statusAk sa chcete hlbšie ponoriť do služby, ako napríklad SSH, spustite sudo fail2ban-client status sshdNavyše, ak omylom Zablokovali ste kolegu Alebo môžete rýchlo uvoľniť IP adresu sami pomocou príkazu sudo fail2ban-client set sshd unbanip IP_A_DESBLOQUEAR.
Údržba a riešenie problémov
Ak si všimnete, že Fail2ban neblokuje tak, ako by mal, najprv by ste sa mali pozrieť do protokolového súboru samotného nástroja. /var/log/fail2ban.log. Použitím tail -f V reálnom čase môžete vidieť, kto je zakázaný a prečo.
Pamätajte, že Fail2ban ukladá stav zámku do databázy SQLite v /var/lib/fail2ban/fail2ban.sqlite3Preto, ak reštartujete server, zakázané IP adresy budú zrušené. zostane zablokovaný kým neuplynie vaša trestná lehota. Vždy, keď vykonáte zmeny v konfiguračných súboroch, nezabudnite tieto zmeny aplikovať pomocou sudo systemctl restart fail2ban.
Implementácia tohto nástroja premení váš server z ľahkého cieľa na automatizovanú pevnosť, čím sa zníži zaťaženie CPU odstránením škodlivej prevádzky na sieťovej vrstve a umožní vám pokojne spať s vedomím, že boty sa nebudú môcť dostať dovnútra hrubou silou. Kombináciou použitia súborov .local, správy špecifických jailov a neustáleho monitorovania protokolov dosiahnete systém s hlbokou obranou , ktorý je nevyhnutný pre každého správcu systému Linux.