So richten Sie Fail2Ban unter CentOS ein

• Einführung in Fail2Ban
• Fail2Ban installieren
• Konfigurieren der Fail2Ban-Einstellungen
• Konfigurieren von Fail2Ban zum Schutz von SSH
• Starten des Fail2Ban-Dienstes
• So verfolgen Sie fehlgeschlagene Anmeldeversuche

Einführung in Fail2Ban

Standardmäßig stellt ein Client über Port 22 eine Verbindung zu SSH her. Da dies ein bekannter Port ist, ist die Standardkonfiguration für viele Brute-Force-Angriffe anfällig. Fail2Ban ist eine Lösung, um einen Server automatisch vor diesen Angriffen zu schützen. Das Programm wird im Hintergrund ausgeführt, durchsucht die Protokolldateien, um festzustellen, welche IPs angreifen, und verbietet ihnen automatisch den Zugriff auf SSH.

Fail2Ban installieren

In diesem Tutorial installieren wir Fail2Ban unter CentOS 6 über das EPEL-Repository. Führen Sie die folgenden Befehle aus.

yum install epel-release
yum install fail2ban

Erläuterung

• yum install epel-release: Installiert das EPEL-Repository (Extra Packages for Enterprise Linux).
• yum install fail2ban: Installiert Fail2Ban aus dem EPEL-Repository.

Konfigurieren der Fail2Ban-Einstellungen

Öffnen Sie die Fail2Ban-Konfigurationsdatei.

nano /etc/fail2ban/jail.conf

In der Datei sehen Sie einige Parameter wie unten gezeigt. Passen Sie einen der Werte an Ihre Bedürfnisse an.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Erläuterung

• ignoreip: Verbieten Sie keine Hosts, die mit einer Adresse in dieser Liste übereinstimmen. Mit dem Leerzeichen können mehrere Adressen definiert werden. Schreiben Sie Ihre persönliche IP in diese Zeile.
• bantime: Die Anzahl der Sekunden, die ein Host gesperrt ist.
• findtime: Ein Host ist gesperrt, wenn er maxretrywährend des letzten generiert wurde findtime.
• maxretry: Die Anzahl der Fehler, bevor ein Host gesperrt wird.

Konfigurieren von Fail2Ban zum Schutz von SSH

Zuerst müssen wir eine Konfigurationsdatei erstellen.

nano /etc/fail2ban/jail.local

Kopieren Sie die folgenden Zeilen und fügen Sie sie in die Datei ein.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]
logpath  = /var/log/secure
maxretry = 5

• enabled: Aktivieren Sie den Schutz. Wenn Sie es deaktivieren möchten, ändern Sie den Wert in false.
• filter: Standardmäßig ist sshd eingestellt, was auf die Datei verweist /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban sperrt die IP, die dem Filter entspricht /etc/fail2ban/action.d/iptables.conf. Wenn Sie den SSH-Port zuvor geändert haben, wechseln Sie beispielsweise port=sshzum neuen Port port=2222. Wenn Sie Port 22 verwenden, müssen Sie den Wert nicht ändern.
• logpath: Der Pfad der von Fail2Ban verwendeten Protokolldatei.
• maxretry: Die maximale Anzahl fehlgeschlagener Anmeldeversuche.

Starten des Fail2Ban-Dienstes

Führen Sie die folgenden beiden Befehle aus, um den Fail2Ban-Dienst zu starten:

chkconfig --level 23 fail2ban on
service fail2ban start

Überprüfen iptablesSie abschließend, ob die von Fail2Ban hinzugefügten Regeln vorhanden sind.

iptables -L

Das Ergebnis sieht dieser Ausgabe ähnlich.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

So verfolgen Sie fehlgeschlagene Anmeldeversuche

Mit diesem Befehl können Sie überprüfen, ob auf Ihrem Server Anmeldeversuche fehlgeschlagen sind (mögliche Angriffe).

cat /var/log/secure | grep 'Failed password'

Das Ergebnis sieht diesen Zeilen ähnlich.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

Verwenden Sie den folgenden Befehl, um anzuzeigen, welche IPs gesperrt wurden.

iptables -L -n

Führen Sie den folgenden Befehl aus, um eine IP-Adresse aus der gesperrten Liste zu löschen. Wechseln Sie banned_ipzu der IP, die Sie aufheben möchten.

iptables -D f2b-SSH -s banned_ip -j DROP