데비안 9에서 Fail2ban을 설정하는 방법

• 전제 조건
• 1 단계 : 시스템 업데이트
• 2 단계 : SSH 포트 수정 (선택 사항)
• 3 단계 : SSH를 보호하기 위해 fail2ban 설치 및 구성

Fail2ban은 이름에서 알 수 있듯이 일부 개방 포트, 특히 SSH 포트에 대한 무차별 대입 공격으로부터 Linux 시스템을 보호하도록 설계된 유틸리티입니다. 시스템 기능 및 관리를 위해 이러한 포트는 방화벽을 사용하여 닫을 수 없습니다. 이러한 상황에서는 Fail2ban을 방화벽에 대한 보완 보안 수단으로 사용하여 이러한 포트에서 무차별 대입 공격 트래픽을 제한하는 것이 좋습니다.

이 기사에서는 Vultr Debian 9 서버 인스턴스에서 가장 일반적인 공격 대상인 SSH 포트를 보호하기 위해 Fail2ban을 설치하고 구성하는 방법을 보여줍니다.

전제 조건

• 새로운 데비안 9 (Stretch) x64 서버 인스턴스.
• 로 로그인했습니다 root.
• 사용하지 않는 모든 포트는 적절한 IPTables 규칙으로 차단되었습니다.

1 단계 : 시스템 업데이트

apt update && apt upgrade -y
shutdown -r now

시스템이 부팅 된 후로 다시 로그인하십시오 root.

2 단계 : SSH 포트 수정 (선택 사항)

기본 SSH 포트 번호 22는 무시하기에는 너무 대중적 이기 때문에 덜 알려진 포트 번호로 변경하는 것이 38752현명한 결정 이라고 할 수 있습니다.

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

수정 후 IPTables 규칙을 적절히 업데이트해야합니다.

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

지속성을 위해 업데이트 된 IPTables 규칙을 파일에 저장하십시오.

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

이러한 방식으로 시스템을 재부팅 한 후에도 IPTables 규칙은 유지됩니다. 이제부터는 38752포트 에서 로그인해야합니다 .

3 단계 : SSH를 보호하기 위해 fail2ban 설치 및 구성

apt현재 Fail2ban의 안정적인 버전을 설치하는 데 사용하십시오 0.9.x.

apt install fail2ban -y

설치 후 Fail2ban 서비스가 자동으로 시작됩니다. 다음 명령을 사용하여 상태를 표시 할 수 있습니다.

service fail2ban status

데비안에서는 기본 Fail2ban 필터 설정이 /etc/fail2ban/jail.conf파일과 파일 모두에 저장 /etc/fail2ban/jail.d/defaults-debian.conf됩니다. 후자의 파일 설정은 이전 파일의 해당 설정보다 우선합니다.

자세한 내용을 보려면 다음 명령을 사용하십시오.

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

참고로 SSH에 대한 코드 발췌는 다음과 같습니다.

에서 /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

에서 /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

위의 두 구성 파일의 내용은 향후 시스템 업데이트에서 변경 될 수 있으므로 자체 fail2ban 필터 규칙을 저장하는 로컬 구성 파일을 작성해야합니다. 이 파일의 설정은 위에서 언급 한 두 파일의 해당 설정보다 우선합니다.

vi /etc/fail2ban/jail.d/jail-debian.local

다음 줄을 입력하십시오.

[sshd]
port = 38752
maxentry = 3

참고 : 자체 SSH 포트를 사용해야합니다. 를 제외 port하고 maxentry위에서 언급 한 다른 모든 설정은 기본값을 사용합니다.

저장하고 종료하십시오 :

:wq

새 구성을로드하려면 Fail2ban 서비스를 다시 시작하십시오.

service fail2ban restart

설정이 완료되었습니다. 이제 어떤 머신이라도 데비안 서버의 커스텀 SSH 포트 ( 38752)에 잘못된 SSH 자격 증명을 세 번 이상 보내면 이 잠재적 인 악성 머신의 IP가 600 초 동안 차단됩니다.