Hoe Fail2Ban op CentOS in te stellen

• Inleiding tot Fail2Ban
• Fail2Ban installeren
• De Fail2Ban-instellingen configureren
• Fail2Ban configureren om SSH te beschermen
• De Fail2Ban-service opstarten
• Hoe mislukte inlogpogingen te volgen

Inleiding tot Fail2Ban

Standaard maakt een client verbinding met SSH via poort 22. Omdat dit een bekende poort is, is de standaardconfiguratie kwetsbaar voor veel brute force-aanvallen. Fail2Ban is een oplossing om een ​​server automatisch tegen deze aanvallen te beschermen. Het programma wordt op de achtergrond uitgevoerd, scant de logbestanden om te detecteren welke IP's aanvallen en verbiedt ze automatisch toegang te krijgen tot SSH.

Fail2Ban installeren

In deze tutorial installeren we Fail2Ban op CentOS 6 via de EPEL-repository. Voer de volgende opdrachten uit.

yum install epel-release
yum install fail2ban

Uitleg

• yum install epel-release: Installeert de EPEL-repository (Extra pakketten voor Enterprise Linux).
• yum install fail2ban: Installeert Fail2Ban vanuit de EPEL-repository.

De Fail2Ban-instellingen configureren

Open het Fail2Ban-configuratiebestand.

nano /etc/fail2ban/jail.conf

In het bestand ziet u enkele parameters zoals hieronder weergegeven. Pas de waarden naar wens aan.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Uitleg

• ignoreip: Verbied geen hosts die overeenkomen met een adres in deze lijst. Er kunnen meerdere adressen worden gedefinieerd met een scheidingsteken voor spaties. Schrijf uw persoonlijke IP op deze regel.
• bantime: Het aantal seconden dat een host is verbannen.
• findtime: Een host is verbannen als deze maxretryde laatste keer is gegenereerd findtime.
• maxretry: Het aantal fouten voordat een host wordt verbannen.

Fail2Ban configureren om SSH te beschermen

Eerst moeten we een configuratiebestand maken.

nano /etc/fail2ban/jail.local

Kopieer de onderstaande regels en plak in het bestand.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]
logpath  = /var/log/secure
maxretry = 5

• enabled: Activeer de beveiliging. Wijzig de waarde in false als u deze wilt uitschakelen.
• filter: Standaard is het ingesteld op sshd wat verwijst naar het bestand /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban verbiedt het IP-adres dat overeenkomt met het filter /etc/fail2ban/action.d/iptables.conf. Als u de SSH-poort eerder had gewijzigd, verander dan port=sshnaar de nieuwe poort port=2222. Als u poort 22 gebruikt, hoeft u de waarde niet te wijzigen.
• logpath: Het pad van het logbestand dat wordt gebruikt door Fail2Ban.
• maxretry: Het maximale aantal mislukte inlogpogingen.

De Fail2Ban-service opstarten

Voer deze twee onderstaande opdrachten uit om de Fail2Ban-service te starten:

chkconfig --level 23 fail2ban on
service fail2ban start

Controleer iptablesten slotte of de regels zijn toegevoegd door Fail2Ban.

iptables -L

Het resultaat zal er ongeveer hetzelfde uitzien als deze output.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Hoe mislukte inlogpogingen te volgen

U kunt deze opdracht gebruiken om te controleren of uw server mislukte inlogpogingen (mogelijke aanvallen) heeft gehad.

cat /var/log/secure | grep 'Failed password'

Het resultaat zal er ongeveer zo uitzien.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

Gebruik de volgende opdracht om te zien welke IP's zijn verbannen.

iptables -L -n

Voer de volgende opdracht uit om een ​​IP-adres uit de verboden lijst te verwijderen. Ga banned_ipnaar het IP-adres dat u wilt opheffen.

iptables -D f2b-SSH -s banned_ip -j DROP