كيفية إعداد Fail2Ban على CentOS

• مقدمة في Fail2Ban
• تثبيت Fail2Ban
• تكوين إعدادات Fail2Ban
• تكوين Fail2Ban لحماية SSH
• بدء تشغيل خدمة Fail2Ban
• كيفية تتبع محاولات تسجيل الدخول الفاشلة

مقدمة في Fail2Ban

بشكل افتراضي ، يتصل العميل بـ SSH باستخدام المنفذ 22. نظرًا لأن هذا المنفذ معروف جيدًا ، فإن التكوين الافتراضي عرضة للعديد من هجمات القوة الغاشمة. Fail2Ban هو حل لحماية الخادم تلقائيًا من هذه الهجمات. يعمل البرنامج في الخلفية ، ويفحص ملفات السجل لاكتشاف أي عناوين IP تهاجمها ويمنعها تلقائيًا من الوصول إلى SSH.

تثبيت Fail2Ban

في هذا البرنامج التعليمي ، سنقوم بتثبيت Fail2Ban على CentOS 6 من خلال مستودع EPEL. قم بتشغيل الأوامر التالية.

yum install epel-release
yum install fail2ban

تفسير

• yum install epel-release: يقوم بتثبيت مستودع EPEL (حزم إضافية لـ Enterprise Linux).
• yum install fail2ban: تثبيت Fail2Ban من مستودع EPEL.

تكوين إعدادات Fail2Ban

افتح ملف التكوين Fail2Ban.

nano /etc/fail2ban/jail.conf

في الملف ، سترى بعض المعلمات كما هو موضح أدناه. اضبط أيًا من القيم وفقًا لاحتياجاتك.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

تفسير

• ignoreip: لا تحظر المضيفين المتطابقين مع عنوان في هذه القائمة. يمكن تحديد عدة عناوين باستخدام فاصل الفضاء. اكتب عنوان IP الشخصي الخاص بك على هذا الخط.
• bantime: عدد الثواني التي تم حظر المضيف فيها.
• findtime: يتم حظر المضيف إذا تم إنشاؤه maxretryخلال الماضي findtime.
• maxretry: عدد حالات الفشل قبل حظر المضيف.

تكوين Fail2Ban لحماية SSH

أولاً ، نحتاج إلى إنشاء ملف تكوين.

nano /etc/fail2ban/jail.local

انسخ الأسطر أدناه والصقها في الملف.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, [email protected]]
logpath  = /var/log/secure
maxretry = 5

• enabled: تنشيط الحماية. إذا كنت تريد إيقاف تشغيله ، فقم بتغيير القيمة إلى false.
• filter: افتراضيًا ، يتم تعيينه على sshd الذي يشير إلى الملف /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban سيحظر IP الذي يطابق الفلتر /etc/fail2ban/action.d/iptables.conf. إذا كنت قد قمت بتغيير منفذ SSH من قبل ، فقم بالتغيير port=sshإلى المنفذ الجديد ، على سبيل المثال port=2222. إذا كنت تستخدم المنفذ 22 ، فلن تحتاج إلى تغيير القيمة.
• logpath: مسار ملف السجل المستخدم بواسطة Fail2Ban.
• maxretry: الحد الأقصى لعدد محاولات تسجيل الدخول الفاشلة.

بدء تشغيل خدمة Fail2Ban

قم بتشغيل هذين الأمرين أدناه لبدء خدمة Fail2Ban:

chkconfig --level 23 fail2ban on
service fail2ban start

أخيرًا ، تحقق iptablesلمعرفة ما إذا كان يحتوي على القواعد التي أضافها Fail2Ban.

iptables -L

ستبدو النتيجة مشابهة لهذا الإخراج.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

كيفية تتبع محاولات تسجيل الدخول الفاشلة

يمكنك استخدام هذا الأمر للتحقق مما إذا كان الخادم قد فشل في محاولات تسجيل الدخول (هجمات محتملة).

cat /var/log/secure | grep 'Failed password'

ستبدو النتيجة مشابهة لتلك الخطوط.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

لعرض عناوين IP التي تم حظرها ، استخدم الأمر التالي.

iptables -L -n

لحذف عنوان IP من القائمة المحظورة ، قم بتشغيل الأمر التالي. التغيير banned_ipإلى IP الذي تريد إلغاء حظره.

iptables -D f2b-SSH -s banned_ip -j DROP