Cualquier servicio que esté expuesto a Internet corre el riesgo de sufrir ataques de malware. Por ejemplo, si está ejecutando un servicio en una red disponible públicamente, los atacantes pueden usar intentos de fuerza bruta para iniciar sesión en su cuenta.
Fail2ban es una herramienta que ayuda a proteger su máquina Linux de la fuerza bruta y otros ataques automatizados al monitorear los registros de servicios en busca de actividad maliciosa. Utiliza expresiones regulares para escanear archivos de registro. Todas las entradas que coinciden con los patrones se cuentan y, cuando su número alcanza un cierto umbral predefinido, Fail2ban prohíbe la IP infractora mediante el firewall del sistema durante un período de tiempo específico. Cuando expira el período de prohibición, la dirección IP se elimina de la lista de prohibición.
Este artículo describe cómo instalar y configurar Fail2ban en Ubuntu 20.04.
Instalando Fail2ban en Ubuntu #
El paquete Fail2ban está incluido en los repositorios predeterminados de Ubuntu 20.04. Para instalarlo, ingrese el siguiente comando como root o usuario con privilegios sudo:
sudo apt updatesudo apt install fail2ban
Una vez completada la instalación, el servicio Fail2ban se iniciará automáticamente. Puedes verificarlo consultando el estado del servicio:
sudo systemctl status fail2banLa salida se verá así:
● fail2ban.service - Fail2Ban Service
Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor preset: enabled)
Active: active (running) since Wed 2020-08-19 06:16:29 UTC; 27s ago
Docs: man:fail2ban(1)
Main PID: 1251 (f2b/server)
Tasks: 5 (limit: 1079)
Memory: 13.8M
CGroup: /system.slice/fail2ban.service
└─1251 /usr/bin/python3 /usr/bin/fail2ban-server -xf start
Eso es todo. En este punto, tiene Fail2Ban ejecutándose en su servidor Ubuntu.
Configuración de Fail2ban #
La instalación predeterminada de Fail2ban viene con dos archivos de configuración, /etc/fail2ban/jail.conf y /etc/fail2ban/jail.d/defaults-debian.conf . No se recomienda modificar estos archivos, ya que pueden sobrescribirse cuando se actualiza el paquete.
Fail2ban lee los archivos de configuración en el siguiente orden. Cada .local El archivo anula la configuración de .conf archivo:
/etc/fail2ban/jail.conf/etc/fail2ban/jail.d/*.conf/etc/fail2ban/jail.local/etc/fail2ban/jail.d/*.local
Para la mayoría de los usuarios, la forma más fácil de configurar Fail2ban es copiar el jail.conf a jail.local y modifique el .local expediente. Los usuarios más avanzados pueden crear un .local archivo de configuración desde cero. El .local El archivo no tiene que incluir todas las configuraciones del correspondiente .conf archivo, solo aquellos que desea anular.
Crea un .local archivo de configuración del predeterminado jail.conf archivo:
sudo cp /etc/fail2ban/jail.{conf,local}
Para empezar a configurar el servidor Fail2ban abierto, el jail.local archivo con su editor de texto:
sudo nano /etc/fail2ban/jail.localEl archivo incluye comentarios que describen lo que hace cada opción de configuración. En este ejemplo, cambiaremos la configuración básica.
Direcciones IP de la lista blanca #
Las direcciones IP, los rangos de IP o los hosts que desea excluir de la prohibición se pueden agregar a ignoreip directiva. Aquí debe agregar la dirección IP de su PC local y todas las demás máquinas que desea incluir en la lista blanca.
Descomente la línea que comienza con ignoreip y agregue sus direcciones IP separadas por espacios:
ignoreip = 127.0.0.1/8 ::1 123.123.123.123 192.168.1.0/24
Configuración de prohibición #
Los valores de bantime , findtime y maxretry Las opciones definen el tiempo de prohibición y las condiciones de prohibición.
bantime es la duración durante la cual la IP está prohibida. Cuando no se especifica ningún sufijo, el valor predeterminado es segundos. Por defecto, el bantime el valor se establece en 10 minutos. En general, la mayoría de los usuarios querrán establecer un tiempo de prohibición más prolongado. Cambia el valor a tu gusto:
bantime = 1d
Para prohibir permanentemente la IP, use un número negativo.
findtime es la duración entre el número de fallas antes de que se establezca una prohibición. Por ejemplo, si Fail2ban está configurado para prohibir una IP después de cinco fallas (maxretry , ver más abajo), esas fallas deben ocurrir dentro del findtime duración.
findtime = 10m
maxretry es el número de fallos antes de que se prohíba una IP. El valor predeterminado es cinco, lo que debería estar bien para la mayoría de los usuarios.
maxretry = 5
Número de notificaciones por correo electrónico
Fail2ban puede enviar alertas por correo electrónico cuando una IP ha sido prohibida. Para recibir correos electrónicos, debe tener un SMTP instalado en su servidor y cambiar la acción predeterminada, que solo prohíbe la IP a %(action_mw)s , como se muestra a continuación:
action = %(action_mw)s
%(action_mw)s prohíbe la IP infractora y envía un correo electrónico con un informe whois. Si desea incluir los registros relevantes en el correo electrónico, establezca la acción en %(action_mwl)s .
También puede ajustar las direcciones de correo electrónico de envío y recepción:
/etc/fail2ban/jail.localdestemail = [email protected]
sender = [email protected]
Fail2ban Jails #
Fail2ban utiliza un concepto de cárceles. Una cárcel describe un servicio e incluye filtros y acciones. Se cuentan las entradas de registro que coinciden con el patrón de búsqueda y, cuando se cumple una condición predefinida, se ejecutan las acciones correspondientes.
Fail2ban se envía con un número de cárcel para diferentes servicios. También puede crear sus propias configuraciones de cárcel.
De forma predeterminada, solo está habilitado sshjail. Para habilitar una cárcel, debe agregar enabled = true después del título de la cárcel. El siguiente ejemplo muestra cómo habilitar la cárcel proftpd:
[proftpd]
enabled = true
port = ftp,ftp-data,ftps,ftps-data
logpath = %(proftpd_log)s
backend = %(proftpd_backend)s
Las configuraciones que discutimos en la sección anterior, se pueden establecer por cárcel. Aquí hay un ejemplo:
/etc/fail2ban/jail.local[sshd]
enabled = true
maxretry = 3
findtime = 1d
bantime = 4w
ignoreip = 127.0.0.1/8 23.34.45.56
Los filtros se encuentran en el /etc/fail2ban/filter.d directorio, almacenado en un archivo con el mismo nombre que la cárcel. Si tiene una configuración personalizada y experiencia con expresiones regulares, puede ajustar los filtros.
Cada vez que edite un archivo de configuración, debe reiniciar el servicio Fail2ban para que los cambios surtan efecto:
sudo systemctl restart fail2banCliente Fail2ban #
Fail2ban se envía con una herramienta de línea de comandos llamada fail2ban-client que puede usar para interactuar con el servicio Fail2ban.
Para ver todas las opciones disponibles, invoque el comando con -h opción:
fail2ban-client -hEsta herramienta se puede utilizar para prohibir/desbanear direcciones IP, cambiar configuraciones, reiniciar el servicio y más. Estos son algunos ejemplos:
-
Verifique el estado de la cárcel:
sudo fail2ban-client status sshd -
Desbanear una IP:
sudo fail2ban-client set sshd unbanip 23.34.45.56 -
Prohibir una IP:
sudo fail2ban-client set sshd banip 23.34.45.56