Cómo configurar Fail2ban en Debian 9

• Prerrequisitos
• Paso 1: actualiza el sistema
• Paso 2: modifique el puerto SSH (opcional)
• Paso 3: Instalar y configurar fail2ban para proteger SSH

Fail2ban, como su nombre lo indica, es una utilidad diseñada para ayudar a proteger las máquinas Linux de ataques de fuerza bruta en puertos abiertos seleccionados, especialmente el puerto SSH. Por el bien de la funcionalidad y administración del sistema, estos puertos no pueden cerrarse usando un firewall. Bajo esta circunstancia, es una buena idea usar Fail2ban como una medida de seguridad complementaria a un firewall para restringir el tráfico de ataque de fuerza bruta en estos puertos.

En este artículo, le mostraré cómo instalar y configurar Fail2ban para proteger el puerto SSH, el objetivo de ataque más común, en una instancia del servidor Vultr Debian 9.

Prerrequisitos

• Una nueva instancia de servidor Debian 9 (Stretch) x64.
• Conectado como root.
• Todos los puertos no utilizados se han bloqueado con las reglas adecuadas de IPTables.

Paso 1: actualiza el sistema

apt update && apt upgrade -y
shutdown -r now

Después de que se inicie el sistema, vuelva a iniciar sesión como root.

Paso 2: modifique el puerto SSH (opcional)

Dado que el número de puerto SSH predeterminado 22es demasiado popular para ignorarlo, cambiarlo a un número de puerto menos conocido, por ejemplo, 38752sería una decisión inteligente.

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

Después de la modificación, debe actualizar las reglas de IPTables en consecuencia:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

Guarde las reglas actualizadas de IPTables en un archivo para fines de persistencia:

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

De esta manera, las reglas de IPTables serán persistentes incluso después de reiniciar el sistema. A partir de ahora, deberá iniciar sesión desde el 38752puerto.

Paso 3: Instalar y configurar fail2ban para proteger SSH

Use aptpara instalar la versión estable de Fail2ban que actualmente es 0.9.x:

apt install fail2ban -y

Después de la instalación, el servicio Fail2ban se iniciará automáticamente. Puede usar el siguiente comando para mostrar su estado:

service fail2ban status

En Debian, la configuración predeterminada del filtro Fail2ban se almacenará tanto en el /etc/fail2ban/jail.confarchivo como en el /etc/fail2ban/jail.d/defaults-debian.confarchivo. Recuerde que la configuración en el último archivo anulará la configuración correspondiente en el primero.

Use los siguientes comandos para ver más detalles:

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

Para su información, a continuación se enumeran extractos de código sobre SSH:

En /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

En /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

Dado que el contenido de los dos archivos de configuración anteriores puede cambiar en futuras actualizaciones del sistema, debe crear un archivo de configuración local para almacenar sus propias reglas de filtro fail2ban. Una vez más, la configuración en este archivo anulará la configuración correspondiente en los dos archivos mencionados anteriormente.

vi /etc/fail2ban/jail.d/jail-debian.local

Ingrese las siguientes líneas:

[sshd]
port = 38752
maxentry = 3

Nota: Asegúrese de usar su propio puerto SSH. Excepto porty maxentrymencionado anteriormente, todas las demás configuraciones utilizarán los valores predeterminados.

Guardar y Salir:

:wq

Reinicie el servicio Fail2ban para cargar la nueva configuración:

service fail2ban restart

Nuestra configuración está completa. De ahora en adelante, si alguna máquina envía credenciales SSH incorrectas al puerto SSH personalizado del servidor Debian ( 38752) más de tres veces, la IP de esta máquina potencialmente maliciosa será prohibida por 600 segundos.