Como configurar o Fail2ban no Debian 9

• Pré-requisitos
• Etapa 1: atualizar o sistema
• Etapa 2: Modifique a porta SSH (opcional)
• Etapa 3: instalar e configurar o fail2ban para proteger o SSH

O Fail2ban, como o próprio nome sugere, é um utilitário projetado para ajudar a proteger máquinas Linux de ataques de força bruta em determinadas portas abertas, especialmente a porta SSH. Por questões de funcionalidade e gerenciamento do sistema, essas portas não podem ser fechadas usando um firewall. Sob essa circunstância, é uma boa idéia usar o Fail2ban como uma medida de segurança suplementar para um firewall para restringir o tráfego de ataque de força bruta nessas portas.

Neste artigo, mostrarei como instalar e configurar o Fail2ban para proteger a porta SSH, o alvo de ataque mais comum, em uma instância do servidor Vultr Debian 9.

Pré-requisitos

• Uma nova instância do servidor Debian 9 (Stretch) x64.
• Conectado como root.
• Todas as portas não utilizadas foram bloqueadas com as regras apropriadas do IPTables.

Etapa 1: atualizar o sistema

apt update && apt upgrade -y
shutdown -r now

Depois que o sistema inicializar, efetue login novamente como root.

Etapa 2: Modifique a porta SSH (opcional)

Como o número da porta SSH padrão 22é muito popular para ignorar, alterá-lo para um número de porta menos conhecido, por exemplo, 38752seria uma decisão inteligente.

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

Após a modificação, você precisa atualizar as regras do IPTables de acordo:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

Salve as regras IPTables atualizadas em um arquivo para fins de persistência:

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

Dessa maneira, as regras do IPTables serão persistentes mesmo após a reinicialização do sistema. A partir de agora, você precisará fazer login a partir da 38752porta.

Etapa 3: instalar e configurar o fail2ban para proteger o SSH

Use aptpara instalar a versão estável do Fail2ban atualmente 0.9.x:

apt install fail2ban -y

Após a instalação, o serviço Fail2ban será iniciado automaticamente. Você pode usar o seguinte comando para mostrar seu status:

service fail2ban status

No Debian, as configurações padrão do filtro Fail2ban serão armazenadas no /etc/fail2ban/jail.confarquivo e no /etc/fail2ban/jail.d/defaults-debian.confarquivo. Lembre-se de que as configurações no último arquivo substituirão as configurações correspondentes no anterior.

Use os seguintes comandos para visualizar mais detalhes:

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

Para sua informação, trechos de código sobre SSH estão listados abaixo:

Em /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Em /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

Como o conteúdo dos dois arquivos de configuração acima pode mudar em futuras atualizações do sistema, você deve criar um arquivo de configuração local para armazenar suas próprias regras de filtro fail2ban. Mais uma vez, as configurações neste arquivo substituirão as configurações correspondentes nos dois arquivos mencionados acima.

vi /etc/fail2ban/jail.d/jail-debian.local

Insira as seguintes linhas:

[sshd]
port = 38752
maxentry = 3

Nota: Certifique-se de usar sua própria porta SSH. Exceto porte maxentrymencionado acima, todas as outras configurações usarão os valores padrão.

Salve e saia:

:wq

Reinicie o serviço Fail2ban a fim carregar a nova configuração:

service fail2ban restart

Nossa configuração está concluída. A partir de agora, se qualquer máquina enviar credenciais SSH incorretas para a porta SSH personalizada do servidor Debian ( 38752) mais de três vezes, o IP dessa máquina potencialmente maliciosa será banido por 600 segundos.