Prevenir ataques con fail2ban

Clase 41 de 49 • Curso de Administración de Servidores Linux 2017

Clase anteriorSiguiente clase

Resumen

Muchas veces los servidores están expuestos a ataques, fail2ban nos permite bloquear ataques.

Instalación

apt-get install fail2ban

Configuración

/etc/fail2ban/fail2ban.conf
/etc/fail2ban/jail.conf

Filtros

Para activar un filtro lo debes buscar y añadir la línea enabled = true, por ejemplo en nginx debes buscar el archivo etc/fail2ban/filter.d/nginx-http-auth.conf

Restaurar el servicio

fail2ban.service restart

Victor Soto

student•

un breve paso a paso… espero les sea util…

Instalando Fail2ban
La instalación la podemos realizar desde apt directamente. Primero actualizamos el sistema y luego instalamos Fail2ban

apt-get update && apt-get -y upgrade

apt-get install fail2ban

Configurando Fail2ban
Ahora procederemos a editar el archivo de configuración de Fail2ban para establecer ciertos parámetros como el tiempo de baneo, los máximos intentos fallidos… La configuración no es muy difícil ya que ya viene configurado para la mayoría de servicios estándar que tienen los servidores Linux (web, ssh …)

Copiamos el archvo de configuracion por defecto de fail2ban como jail.local que sera ejecutado y nos sobreescribira las configuraciones que tengamos en jail.conf

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Abrimos el archivo con el editor.

nano /etc/fail2ban/jail.local

Y modificamos los parametros de SSH (o otros servicios) que deseemos. Los mas comunes son los siguientes.

Sección [Default]
ignoreip

Aquí hemos de poner las ips que queremos que fail2ban no banee bajo ningún concepto, por ejemplo las de la empresa o red local donde esta alojado el servidor Linux. Por defecto nos trae la 127.0.0.1 que es la interfaz lo del servidor Linux (para evitar banearse a si mismo). Añadimos la ip o red que queramos.

ignoreip = 127.0.0.1 192.168.1.0/24

bantime

Como el nombre mismo dice, es el tiempo que queremos que banee la ip que ha intentado acceder erroneamente. El tiempo esta en segundos, por lo que si queremos banear 24h esa ip, 24h * 60 * 60 = 86400 segundos.

bantime = 86400

maxretry

Es el numero máximo de intentos que queremos que fail2ban pase por alto, lo normal es dar un poco de margen y poner 5 fallos como máximo, pero esto siempre va a gustos.

maxretry = 5

Sección [ssh-iptables]

enabled = true

filter = sshd

action = iptables[name=SSH, port=22, protocol=tcp]

logpath = /var/log/auth.log

maxretry = 5

Aquí podemos configurar si esta activo para el servicio SSH, que nos envie un email al banear una ip etc… En mi caso también lo he activado para el servicio proftpd.

Una vez hayamos terminado de configurar el archivo de fail2ban a nuestro gusto, reiniciamos el servicio.

service fail2ban restart

Y comprobamos si el funcionamiento es correcto como solemos hacer con todos los servicios

service fail2ban status

O bien lo podemos comprobar con el cliente

fail2ban-client ping

john fredy quimbaya orozco

student•

pregunta en platzi implementan este tipo de sugerencias de seguridad?

Starling Germosen

student•

Excelente pregunta

Nelson Sebastian Galeano Aranda

student•

para buscar el nginx en el archivo jail.conf como lo hace Woakas deben hacer lo siguiente:
1- presionar "esc"
2- presionar la "/"
3- escribir lo que deseen buscar, en este caso: “nginx”

jairo paez

student•

Con la cantidad de amenazas que hay en la red, más aún si estamos en la internet profunda, es necesario una herramienta de protección…

Jorge Luis Paiva Huamán

student•

Luego de la configuración no me funcionaba las reglas. El log no me indicaba errores o indicios de bloqueos. El problema era la configuracion del jail. El comando me ayudó a identificar el problema: fail2ban-client -vvv -x start

Nelson Sebastian Galeano Aranda

student•

1- Para reiniciar el servicio de ssh escribimos:
/etc/init.d/ssh restart y luego le damos enter

2- Para reiniciar el servicio de fail2ban escribimos:
/etc/init.d/fail2ban restart y luego le damos enter

Daniel Felipe Palomo Luna

company_admin•

Para tener en cuenta, tambien es posible detener / arrancar / reiniciar servicios de la siguiente manera:

service nombreServicio stop

service nombreServicio start

service nombreServicio restart

Brayan Murcia Sanchez

student•

-c <DIR> configurar el directorio
-s <FILE> archivo
-d descartar configuracion
-i actuar en modo interactivo
-v umentar la verbosidad
-q disminuir la verbosidad
-x forzar el servidos para ejecutar
-h, --help mostrar ayuda
-V, --version imprimir version