La herramienta fail2ban monitorea sus archivos de registro y actúa tan pronto como descubre un comportamiento malicioso en la forma en que se lo indicó. Un caso de uso común es el bloqueo de direcciones IP maliciosas al establecer reglas de firewall sobre la marcha usando iptables.
Esta es una herramienta que sirve para proteger una variedad de servicios, incluidos SSH, FTP, SMTP, Apache y muchos más contra visitantes no deseados. Funciona leyendo los archivos de registro en busca de patrones basados en intentos de inicio de sesión fallidos y se ocupa de las direcciones IP infractoras en consecuencia. Por supuesto, es posible que ya haya fortalecido su servidor SSH u otro servicio a nivel de aplicación directa, pero el propósito de esta receta es mostrar que, cuando se enfrenta a la posibilidad de ataques de fuerza bruta, una capa adicional de protección siempre es útil. .
Desinstalar fail2ban en Ubuntu
A pesar de las funciones proporcionadas por fail2ban, es posible que desee desinstalar el paquete. Para hacerlo, siga los pasos que se describen a continuación:
1. Eliminar el paquete fail2ban:
$ sudo apt-get remove fail2ban
2. Desinstale fail2ban, incluido el paquete dependiente. Si desea eliminar fail2ban y sus paquetes dependientes que ya no son necesarios en Ubuntu,
$ sudo apt-get remove --auto-remove fail2ban
Usar purga fail2ban
Si usa las opciones de purga para el paquete fail2ban, se eliminarán toda la configuración y los paquetes dependientes.
$ sudo apt-get purge fail2ban
Si usa las opciones de purga junto con la eliminación automática, se eliminará todo lo relacionado con el paquete. Es realmente útil cuando desea volver a instalarlo.
$ sudo apt-get purge --auto-remove fail2ban
Reinstalación de fail2ban en Ubuntu
Instalar y configurar Fail2ban es relativamente sencillo. Primero, instale su paquete:
$ sudo apt install fail2ban
Después de la instalación, el demonio fail2ban se iniciará y se configurará para iniciarse automáticamente en el momento del arranque. Configurar fail2ban es simplemente una cuestión de crear un archivo de configuración. La forma más sencilla de empezar es hacer una copia de jail.conf y guardarla como jail.local:
$ sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
Edite el archivo de configuración /etc/fail2ban/jail.local según sus necesidades y reinicie el servicio fail2ban:
$ sudo systemctl restart fail2ban $ sudo systemctl status -l fail2ban
Conclusión
Fail2Ban es un programa de terceros que se ejecuta en segundo plano y supervisa los registros. Cuando las líneas de registro específicas (como la línea de desafío de autenticación que se muestra anteriormente) se ven una cierta cantidad de veces, Fail2Ban toma una acción. Se puede programar para enviarle un correo electrónico con una alerta o usar IPTables automáticamente para bloquear una dirección IP infractora después de que ocurran demasiados intentos dentro de un cierto período de tiempo.