Как настроить Fail2Ban для защиты сервера

1. Установка: apt install fail2ban (Debian/Ubuntu) или yum install fail2ban (RHEL)
2. Скопируйте: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
3. В jail.local: [DEFAULT] bantime = 3600; findtime = 600; maxretry = 3
4. Включите SSH jail: [sshd] enabled = true
5. Для web-app: создайте custom filter в /etc/fail2ban/filter.d/myapp.conf
6. Restart: systemctl restart fail2ban
7. Мониторинг: fail2ban-client status sshd показывает banned IPs + статистику

• ignoreip не добавлен ваш admin IP — вы сами banned
• bantime = 1h для agressive bots = return каждый час с fresh IP
• maxretry = 10 — слишком liberal для SSH (attacker сможет попробовать 10 паролей)
• Не настроен persistent banning — после restart все bans resetятся (дефолтное поведение)
• Log format nginx не совпадает с default fail2ban filter — ничего не banned

Для настройки Fail2Ban на защиту от brute-force атак, установите Fail2Ban с помощью команды sudo apt-get install fail2ban. Затем создайте конфигурационный файл /etc/fail2ban/jail.local и добавьте следующие строки для защиты SSH:

[sshd]
enabled = true
filter = sshd
port = ssh
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600

Эти настройки заблокируют IP-адреса, которые не смогли пройти аутентификацию после 5 попыток в течение часа.

Fail2Ban — это система, которая мониторит логи и блокирует IP-адреса, производящие подозрительную активность, такую как brute-force атаки. Основные компоненты Fail2Ban включают:

• Фильтры: определяют условия, при которых IP-адрес будет заблокирован.
• Тюрьмы: конфигурации, которые применяются к конкретным сервисам (например, SSH, HTTP).
• Действия: определяют, что делать с заблокированными IP-адресами (например, добавление в iptables).

Для настройки фильтров, вам необходимо отредактировать файл /etc/fail2ban/filter.d/sshd.conf, добавив или изменив регулярные выражения, которые определяют, что считается попыткой взлома.

Чтобы настроить Fail2Ban для защиты вашего веб-сервера от brute-force атак, выполните следующие шаги:

1. Установите Fail2Ban, если он еще не установлен:

sudo apt-get install fail2ban

2. Создайте конфигурационный файл:

sudo nano /etc/fail2ban/jail.local

3. Добавьте следующие строки для защиты вашего веб-сервера (например, Apache):

[apache-auth]
enabled = true
filter = apache-auth
logpath = /var/log/apache2/error.log
maxretry = 3
bantime = 86400

4. Перезапустите Fail2Ban для применения изменений:

sudo systemctl restart fail2ban

Эти настройки будут блокировать IP-адреса, которые не смогли пройти аутентификацию после 3 попыток в течение суток. Убедитесь, что вы также проверяете логи Fail2Ban для мониторинга заблокированных IP-адресов с помощью команды:

sudo fail2ban-client status apache-auth

Fail2Ban — это мощный инструмент для защиты серверов от brute-force атак, который работает по принципу блокировки IP-адресов, осуществляющих подозрительные попытки входа. Для настройки Fail2Ban необходимо установить его, настроить конфигурационные файлы и запустить службу. Рекомендуется использовать стандартный конфигурационный файл и адаптировать его под свои нужды, включая определение частоты попыток входа и времени блокировки.

Одним из наиболее распространенных случаев использования Fail2Ban является защита SSH-сервера от brute-force атак. Для этого следуйте следующей инструкции:

1. Установка Fail2Ban: В большинстве дистрибутивов Linux вы можете установить Fail2Ban с помощью пакетного менеджера. Например, для Ubuntu и Debian выполните:

sudo apt update && sudo apt install fail2ban

2. Создание конфигурационного файла: После установки перейдите в каталог конфигурации Fail2Ban. Обычно это /etc/fail2ban. Создайте копию стандартного конфигурационного файла:

sudo cp jail.conf jail.local

3. Настройка параметров: Откройте файл jail.local с помощью текстового редактора:

sudo nano /etc/fail2ban/jail.local

В этом файле вы можете настроить параметры для защиты SSH. Найдите секцию, относящуюся к SSH, и измените параметры:

• enabled = true — включите защиту для SSH.
• port = ssh — укажите порт, на котором работает ваш SSH-сервер (по умолчанию 22).
• filter = sshd — фильтр для SSH-сервера.
• logpath = /var/log/auth.log — путь к логам аутентификации.
• maxretry = 5 — максимальное число неудачных попыток входа перед блокировкой.
• bantime = 600 — продолжительность блокировки в секундах (в данном случае 10 минут).
4. Сохраните изменения: После внесения изменений сохраните файл и закройте редактор.
5. Запуск и настройка службы: После настройки конфигурации запустите Fail2Ban и убедитесь, что он работает:

sudo systemctl start fail2ban

sudo systemctl enable fail2ban

6. Проверка статуса: Чтобы убедиться, что Fail2Ban работает и защищает ваш SSH-сервер, выполните следующую команду:

sudo fail2ban-client status sshd

Эта команда покажет количество заблокированных IP-адресов и другие статистические данные.

Важно периодически проверять логи Fail2Ban, чтобы отслеживать, какие IP-адреса были заблокированы, и при необходимости вносить коррективы в настройки. Вы можете найти логи Fail2Ban в /var/log/fail2ban.log.

Дополнительно, для повышения безопасности можно настроить уведомления о блокировках, используя почтовый клиент или интеграцию с системами мониторинга.