fail2ban

fail2ban - Intrusion Prevention System

Beschreibung

Framework zur Vorbeugung gegen Einbrüche

• Intrusion Prevention System
• POSIX-Betriebssysteme
  • mit manipulierbarem Paketfiltersystem/Firewall wie iptables

Hersteller

• Cyril Jaquier, Arturo 'Buanzo' Busleiman

Betriebssysteme

• Linux/POSIX mit Firewall

Programmiersprache

• Python

Lizenz

• GPL Version 2 (freie Software)

Website

• http://www.fail2ban.org

Funktionsweise

IP-Adressen blockieren

• die wahrscheinlich zu Angreifern gehören
• die sich Zugang zum System verschaffen wollen

Log-File analyse

• /var/log/pwdfail
• /var/log/auth.log
• /var/log/apache2/error.log

IP-Adressen, die in einem vom Administrator angesetzten Zeitrahmen z. B. öfter versuchen, sich mit falschen Passwörtern anzumelden oder andere gefährliche oder sinnlose Aktionen ausführen.

Normalerweise ist fail2ban so konfiguriert, dass es blockierte Adressen nach einer bestimmten Zeit wieder freigibt, um keine seriösen Verbindungsversuche zu blockieren (beispielsweise, wenn die Angreifer-IP dynamisch einem anderen Host zugeteilt wird). Als hilfreich gilt eine Blockierzeit von einigen Minuten, um das Fluten des Servers mit bösartigen Verbindungsversuchen (Brute Force) zu stoppen.

Aktionen

Wenn eine wahrscheinlich bösartige IP entdeckt wurde

• etwa diese IP mit einer Regel in iptables oder
• der zu TCP-Wrappern gehörenden hosts.deny zu blockieren, um nachfolgende Angriffe zurückzuweisen, E-Mail-Benachrichtigungen oder jede benutzerdefinierte Aktion, die mit Python ausgeführt werden kann.

Filter

Werden durch reguläre Ausdrücke definiert

• die vom Administrator gut angepasst werden können

Standardfilter

• Apache
• Lighttpd
• sshd
• vsftpd
• qmail
• Postfix
• Courier Mail Server

Jail

Die Kombination aus Filter und Aktion wird als jail (Gefängnis) bezeichnet

• ist in der Lage, bösartige Hosts zu blockieren.

Eine „jail“ kann für jede Software erstellt werden, die Logdateien erstellt

• welche sich mit Regulären Ausdrücken auswerten lassen
• Beispielsweise existiert für das WordPress-Plugin „Antispam Bee“ ein „jail“, welches Spam-Attacken bereits auf der Server-Ebene abwehrt und somit die Auslastung des Webservers und der Datenbank reduziert.

Anwendungen

Fail2ban/Anwendungen

Installation

Fail2ban/Installation

Konfiguration

Fail2ban/Konfiguration

Siehe auch

• Filter recidive
• DenyHosts
• OSSEC
• Stockade (Software)

Links

Projekt

1. http://www.fail2ban.org

Weblinks

1. https://github.com/fail2ban/
2. http://www.fail2ban.org/

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5