Comment configurer Fail2ban sur Debian 9

• Conditions préalables
• Étape 1: mettre à jour le système
• Étape 2: modifier le port SSH (facultatif)
• Étape 3: installer et configurer fail2ban pour protéger SSH

Fail2ban, comme son nom l'indique, est un utilitaire conçu pour aider à protéger les machines Linux contre les attaques par force brute sur certains ports ouverts, en particulier le port SSH. Pour des raisons de fonctionnalité et de gestion du système, ces ports ne peuvent pas être fermés à l'aide d'un pare-feu. Dans ce cas, il est judicieux d'utiliser Fail2ban comme mesure de sécurité supplémentaire à un pare-feu pour limiter le trafic d'attaque par force brute sur ces ports.

Dans cet article, je vais vous montrer comment installer et configurer Fail2ban pour protéger le port SSH, la cible d'attaque la plus courante, sur une instance de serveur Vultr Debian 9.

Conditions préalables

• Une nouvelle instance de serveur Debian 9 (Stretch) x64.
• Connecté en tant que root.
• Tous les ports inutilisés ont été bloqués avec les règles IPTables appropriées.

Étape 1: mettre à jour le système

apt update && apt upgrade -y
shutdown -r now

Une fois le système démarré, reconnectez-vous en tant que root.

Étape 2: modifier le port SSH (facultatif)

Étant donné que le numéro de port SSH par défaut 22est trop populaire pour être ignoré, le remplacer par un numéro de port moins connu 38752serait une décision intelligente.

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

Après la modification, vous devez mettre à jour les règles IPTables en conséquence:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

Enregistrez les règles IPTables mises à jour dans un fichier à des fins de persistance:

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

De cette façon, les règles IPTables seront persistantes même après un redémarrage du système. À partir de maintenant, vous devrez vous connecter depuis le 38752port.

Étape 3: installer et configurer fail2ban pour protéger SSH

Utilisez aptpour installer la version stable de Fail2ban qui est actuellement 0.9.x:

apt install fail2ban -y

Après l'installation, le service Fail2ban démarre automatiquement. Vous pouvez utiliser la commande suivante pour afficher son état:

service fail2ban status

Sur Debian, les paramètres par défaut du filtre Fail2ban seront stockés à la fois dans le /etc/fail2ban/jail.conffichier et dans le /etc/fail2ban/jail.d/defaults-debian.conffichier. N'oubliez pas que les paramètres de ce dernier remplaceront les paramètres correspondants de l'ancien.

Utilisez les commandes suivantes pour afficher plus de détails:

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

Pour votre information, des extraits de code sur SSH sont répertoriés ci-dessous:

Dans /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Dans /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

Étant donné que le contenu des deux fichiers de configuration ci-dessus pourrait changer dans les futures mises à jour du système, vous devez créer un fichier de configuration local pour stocker vos propres règles de filtrage fail2ban. Encore une fois, les paramètres de ce fichier remplaceront les paramètres correspondants des deux fichiers mentionnés ci-dessus.

vi /etc/fail2ban/jail.d/jail-debian.local

Saisissez les lignes suivantes:

[sshd]
port = 38752
maxentry = 3

Remarque: assurez-vous d'utiliser votre propre port SSH. À l'exception de portet maxentrymentionnés ci-dessus, tous les autres paramètres utiliseront les valeurs par défaut.

Sauvegarder et quitter:

:wq

Redémarrez le service Fail2ban afin de charger la nouvelle configuration:

service fail2ban restart

Notre configuration est terminée. Dorénavant, si une machine envoie des informations d'identification SSH incorrectes au port SSH personnalisé ( 38752) du serveur Debian plus de trois fois, l'adresse IP de cette machine potentiellement malveillante sera interdite pendant 600 secondes.