FaiL2Ban empeche les attaques en brutes

geekeries.de-labrusse.fr/?p=76


Un ordinateur branché sur Internet est victime d’attaque en brute force de mechant petit gars (une attaque en force est une attaque ou le cracker passe des logins et MDP, jusqu’a ce qu’il trouve….c’est un peu chiant.) Ce phénomène arrive des que l’ordinateur répond du coté WEB sur des ports standards deja connus tel que le ssh, le ftp ou autre….une solution à mettre en place serait donc de changer les ports standards pour mettre vos ports à vous (normalement les ports libres sont de 1024 à 65000 et des poussières)

Sinon l’autre solution est d’installer FAIL2BAN :

en effet ce programme va surveiller les logs d’authentification contenu dans /var/log pour déterminer si des erreurs d’authentification y figurent….si le cas se précise, pour un nombre déterminé de mauvais login, l’IP de l’étourdie est bloqué, pour une durée qui vous appartiens (libre à vous, de 1 seconde à l’eternité)

Linux est une grande famille, mais il y a des différences subtiles à connaître

1. pour les familles Debian, le log d’authentification est dans /var/log/auth.log
2. pour les familles RedHat, le fichier de log est /var/log/secure

effectivement, il faut le savoir car vous allez devoir parametrer le fichier de conf pour faire pointer vers votre log d’authentification…

Il va vous falloir avoir un MTA (mail transfert agent) pour acheminer les mails qui vous avertiront des IP bloqués, cela peut fonctionner sans mais aucun avertissements alors

sous Debian pour installer FaiL2Ban

aptitude install fail2ban

Ensuite il va vous falloir paramétrer le fichier /etc/fail2ban/jail.conf, car c’est celui là qui va vous déterminer les paramètres de blocage

en root :

nano /etc/fail2ban/jail.conf

il semblerait que le plus simple soit de se servir d’iptables pour bloquer les agresseurs, au début du fichier, vous avez des exemples pour les services ssh et proftp….vous pouvez vous en servir……il semblerait que ce soit un programme tres fournis, et permettant de se fabriquer des « scripts » perso….il y a des extensions possibles

Le site Internet

les commandes de gestion de faiL2ban en Root :

Relancez la configuration avec

fail2ban-client reload

Vous pouvez alors vérifier si les prisons ont été correctement lancées avec :

fail2ban-client status

Status
|- Number of jail: 2
`- Jail list: proftpd-iptables, ssh-iptables

Les prisons peuvent être contrôlées séparément avec les mots clés start,stop,status Par exemple :

fail2ban-client stop ssh

Jail stopped

Voici le fichier de conf de base, je vous ai surligné en Rouge les passages à modifier et a adapter selon votre situation…notamment votre email.

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 617 $
#

# The DEFAULT allows a global definition of the options. They can be override
# in each jail afterwards.

[DEFAULT]

# « ignoreip » can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# « bantime » is the number of seconds that a host is banned.##nombre de seconde pour bannir les IP
bantime = 8640000

# A host is banned if it has generated « maxretry » during the last « findtime »
# seconds.####temporisation pour se tromper de login
findtime = 600

# « maxretry » is the number of failures before a host get banned.###apres 3 fois couic
maxretry = 3

# « backend » specifies the backend used to get files modification. Available
# options are « gamin », « polling » and « auto ». This option can be overridden in
# each jail too (use « gamin » for a jail and « polling » for another).
#
# gamin: requires Gamin (a file alteration monitor) to be installed. If Gamin
# is not installed, Fail2ban will use polling.
# polling: uses a polling algorithm which does not require external libraries.
# auto: will choose Gamin if available and polling otherwise.
backend = auto

# This jail corresponds to the standard configuration in Fail2ban 0.6.
# The mail-whois action send a notification e-mail with a whois request
# in the body.

[ssh-iptables]

enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=you@mail.com, sender=fail2ban@mail.com]
logpath = /var/log/auth.log
maxretry = 3

[proftpd-iptables]

enabled = true
filter = proftpd
action = iptables[name=ProFTPD, port=ftp, protocol=tcp]
sendmail-whois[name=ProFTPD, dest=you@mail.com, sender=fail2ban@mail.com]
logpath = /var/log/auth.log
maxretry = 3

# This jail forces the backend to « polling ».

[sasl-iptables]

enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, dest=you@mail.com]
logpath = /var/log/mail.log

# Here we use TCP-Wrappers instead of Netfilter/Iptables. « ignoreregex » is
# used to avoid banning the user « myuser ».

[ssh-tcpwrapper]

enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=you@mail.com]
ignoreregex = for myuser from
logpath = /var/log/sshd.log

# This jail demonstrates the use of wildcards in « logpath ».
# Moreover, it is possible to give other files on a new line.

[apache-tcpwrapper]

enabled = false
filter = apache-auth
action = hostsdeny
logpath = /var/log/apache*/*error.log
/home/www/myhomepage/error.log
maxretry = 6

# The hosts.deny path can be defined with the « file » argument if it is
# not in /etc.

[postfix-tcpwrapper]

enabled = false
filter = postfix
action = hostsdeny[file=/not/a/standard/path/hosts.deny]
sendmail[name=Postfix, dest=you@mail.com]
logpath = /var/log/postfix.log
bantime = 300

# Do not ban anybody. Just report information about the remote host.
# A notification is sent at most every 600 seconds (bantime).

[vsftpd-notification]

enabled = false
filter = vsftpd
action = sendmail-whois[name=VSFTPD, dest=you@mail.com]
logpath = /var/log/vsftpd.log
maxretry = 5
bantime = 1800

# Same as above but with banning the IP address.

[vsftpd-iptables]

enabled = false
filter = vsftpd
action = iptables[name=VSFTPD, port=ftp, protocol=tcp]
sendmail-whois[name=VSFTPD, dest=you@mail.com]
logpath = /var/log/vsftpd.log
maxretry = 5
bantime = 1800

# Ban hosts which agent identifies spammer robots crawling the web
# for email addresses. The mail outputs are buffered.

[apache-badbots]

enabled = false
filter = apache-badbots
action = iptables-multiport[name=BadBots, port="http,https"]
sendmail-buffered[name=BadBots, lines=5, dest=you@mail.com]
logpath = /var/www/*/logs/access_log
bantime = 172800
maxretry = 1

# Use shorewall instead of iptables.

[apache-shorewall]

enabled = false
filter = apache-noscript
action = shorewall
sendmail[name=Postfix, dest=you@mail.com]
logpath = /var/log/apache2/error_log

# This jail uses ipfw, the standard firewall on FreeBSD. The « ignoreip »
# option is overridden in this jail. Moreover, the action « mail-whois » defines
# the variable « name » which contains a comma using « ». The characters » are
# valid too.

[ssh-ipfw]

enabled = false
filter = sshd
action = ipfw[localhost=192.168.0.1]
sendmail-whois[name="SSH,IPFW", dest=you@mail.com]
logpath = /var/log/auth.log
ignoreip = 168.192.0.1

# These jails block attacks against named (bind9). By default, logging is off
# with bind9 installation. You will need something like this:
#
# logging {
# channel security_file {
# file « /var/log/named/security.log » versions 3 size 30m;
# severity dynamic;
# print-time yes;
# };
# category security {
# security_file;
# };
# }
#
# in your named.conf to provide proper logging.
# This jail blocks UDP traffic for DNS requests.

[named-refused-udp]

enabled = false
filter = named-refused
action = iptables-multiport[name=Named, port="domain,953", protocol=udp]
sendmail-whois[name=Named, dest=you@mail.com]
logpath = /var/log/named/security.log
ignoreip = 168.192.0.1

# This jail blocks TCP traffic for DNS requests.

[named-refused-tcp]

enabled = false
filter = named-refused
action = iptables-multiport[name=Named, port="domain,953", protocol=tcp]
sendmail-whois[name=Named, dest=you@mail.com]
logpath = /var/log/named/security.log
ignoreip = 168.192.0.1