Fail2ban

fail2ban

• sinngemäß „Fehlschlag führt zum Bann“
• ist ein in Python geschriebenes Intrusion Prevention System
• Framework zur Vorbeugung gegen Einbrüche
• das auf allen POSIX-Betriebssystemen läuft
• die ein manipulierbares Paketfiltersystem oder eine Firewall besitzen (z. B. iptables unter Linux)
• Requirements – Fail2ban

Option	Beschreibung
Hersteller	Cyril Jaquier, Arturo 'Buanzo' Busleiman
Version	0.9.5
AktuelleVersionFreigabeDatum	15. Juli 2016
Vorabversion	0.10.0
Betriebssystem	Linux/POSIXe mit Firewall
Programmiersprache	Python
Kategorie	Intrusion Prevention System
Lizenz	GPL Version 2 (freie Software)
Website	www.fail2ban.org

Funktionalität

Bestimmen und Blockieren bestimmter IP-Adressen

• Hauptzweck von fail2ban
• die wahrscheinlich zu Angreifern gehören, die sich Zugang zum System verschaffen wollen
• fail2ban ermittelt aus Log-Dateien (u. a. /var/log/pwdfail, /var/log/auth.log oder /var/log/apache2/error.log) IP-Adressen, die in einem vom Administrator angesetzten Zeitrahmen z. B. öfter versuchen, sich mit falschen Passwörtern anzumelden oder andere gefährliche oder sinnlose Aktionen ausführen. Normalerweise ist fail2ban so konfiguriert, dass es blockierte Adressen nach einer bestimmten Zeit wieder freigibt, um keine seriösen Verbindungsversuche zu blockieren (beispielsweise, wenn die Angreifer-IP dynamisch einem anderen Host zugeteilt wird). Als hilfreich gilt eine Blockierzeit von einigen Minuten, um das Fluten des Servers mit bösartigen Verbindungsversuchen (Brute Force) zu stoppen.

Fail2ban ist in der Lage, verschiedene Aktionen auszuführen

• wenn eine wahrscheinlich bösartige IP entdeckt wurde, beispielsweise diese IP mit einer Regel in iptables oder der zu TCP-Wrappern gehörenden hosts.deny zu blockieren, um nachfolgende Angriffe zurückzuweisen, E-Mail-Benachrichtigungen oder jede benutzerdefinierte Aktion, die mit Python ausgeführt werden kann.

Standardfilter

• Apache
• Lighttpd
• sshd
• vsftpd
• qmail
• Postfix
• Courier Mail Server

Filter werden durch reguläre Ausdrücke definiert

• die vom Administrator gut angepasst werden können

Jails

• Die Kombination aus Filter und Aktion wird als jail (Gefängnis) bezeichnet und ist in der Lage, bösartige Hosts zu blockieren. Ein „jail“ kann für jede Software erstellt werden, die Logdateien erstellt, welche sich mit Regulären Ausdrücken auswerten lassen.
• Beispielsweise existiert für das WordPress-Plugin „Antispam Bee“ ein „jail“, welches Spam-Attacken bereits auf der Server-Ebene abwehrt und somit die Auslastung des Webservers und der Datenbank reduziert.

Siehe auch

• Filter recidive
• DenyHosts
• OSSEC
• Stockade (Software)