Fail2ban [incremental]：より良く、より速く、より信頼できる

ハブを含め、fail2banについて多くのことが書かれています この記事では、もう少し-保護をさらに信頼性の高いものにする方法と、広く知られているまだ新しいfail2ban機能について少し説明します。 すぐに追加します-開発ブランチについてお話しますが、長い間戦闘で既にテストされています。

簡単な紹介

ほとんどの場合、fail2banは配布キットからインストールされ（通常は何らかの安定した古いバージョンです）、数分でインターネットからのマナに従って構成されます。 その後、管理者の介入なしで何年も機能します。 多くの場合、fail2banが続くように見えるログも表示されません。

だから、私は私の友人の1つのサーバーで起こったケースによってこの投稿を書くように促されました。 ジャンルの古典-アブサが来て、2番目が続いて行きました。 まあ、攻撃者も怠gotでした-彼はログをこすりませんでした、そして彼はlogrotateがログを数ヶ月間保存するように設定されていたのでさえ幸運でした



それはかなり当たり前のことでしたが、彼の管理メールのパスワードを取得しました。これはsshのパスワードでもありました（当然キーなし）。 ルートではなく、sudoer、それが意味するすべてのもの。 彼の最初の質問は：それを拾う方法-私はそこにfail2banがあります。 そして、ここに待ち伏せがあります。今日、それが個々のコンピューターではなく、パスワード選択に関与しているボットネット全体を想像しているわけではありません。 そのため、ログからまさにこれが当てはまることがわかりました。ボットネットをソートしていましたが、実際にはfail2ban（maxRetry = 5、findTime = 600およびbanTime = 600）で設定を見つけました。 つまり 禁止を回避するために、ネットワークは各IPから10分以内に4回試行しました。 ネットワーク上で1分間、約1万個の一意のIP = 1日あたり500万個以上のパスワード。

さらに、彼のメーラーは多くの愚かさをしました-すなわち、間違った名前でログインして、最大10秒の休止。 つまり adminを含むいくつかの名前が実際に存在することを確認するために、このグリッドは難しくありませんでした。 次は、既存の名前のパスワードのみの集中的な列挙でした。

「修理」について詳しくは述べません。これは長い話であり、一般的には別の記事のトピックです。 私は彼らがすべてをきれいにし、すべてが少しの血で解決されたとしか言えず、彼はほとんど「わずかな」恐怖で逃げました。



だから、記事を書くというアイデアは、私が（当然のことながら）当然のことと言われた後に生まれました。「あなたはこのことを知っていて、何も言わず、警告しませんでした。 はい、解決策があり、共有しませんでした。 まあ、あなたはろくでなし。」 要するに、ポストはそうであることになっています。

私のfail2ban

私は「私の」サーバーのセキュリティを非常に真剣に考えています。 さらに、fail2banは常に非常にカスタム化されており、そこに多くのことを監視しています。 ハードウェアをボットネットの制御下に置くことができる愚かな灰色の塊のため、保護のために多くの時間を費やさなければならないこと（そして、その継続的なメンテナンスと監視）は本当に私を怒らせます。 ところで、この制御を最小限に抑えるために、私はfail2banおよびその他のセキュリティプロジェクトの開発に積極的に関与しています。



したがって、私の最後の拡張バージョン[sebres：ban-time-incr]を使用すると、この厄介な動物園を一度（すべて、または順応するまで）引き出すことができます。 この機能はコミュニティ全体でよく議論されましたが、どういうわけか手が届きませんでした。 独立したスクリプトといくつかのカスタム変更の形で、既成の機能に形が変わるまで生き続けました。



要するに、システムは不正なIPアドレスを記憶しているため、毎回、以前の禁止の数（banCount）に応じて禁止時間（banTime）を動的に（指数関数的に）増やすことができます。 同時に、毎回、次の禁止への失敗する可能性のある試行（失敗）の数（maxRetry）も減らします。 これは、次の例で明らかにわかります。

ここでは、次の各禁止がブロック時間を最初の15分（0:15:00）から10ブロック後の5プラス日（5日、8：04：55）まで延長する様子がはっきりと見えます。 私のデータベースには、すでに「期限」が設定されたIPがあります-数ヶ月から永久に禁止されています。



以下に、新しい機能がIP XXX.XXX.XX.XXXを禁止する決定にどのように影響したかを示します。 この例では、maxRetryパラメーターは5に設定されています。したがって、IPが不良として認識されるまで、5回の試行後初めて禁止され、2回目は既に不良として禁止されました。3回後（各試行は2回としてカウント）など -2回後（3回試行）、最初の試行の直後に4回禁止されます（5回すぐにカウントされます）。



失敗を数えるこの論理がなければ、スマートボットネットは禁止に陥らないように作業を微調整することを学びました。 このロジックを完成させて本番環境に展開すると、数日のうちにログで何年も目にしていた実質的にすべての悪を取り除きました。 たとえば、現在のauth.logの通常の1日あたりの平均ゲインは20〜50行程度ですが、一部のサーバーでは数百および数千倍になりました。



これまでのところ、これは開発ブランチであり、プルリクエストがあり、リリースはこれまでのところバージョン0.9.2で計画されています。

興味がある場合は、ここでソリューションの実装と履歴について読んでください-sebresによる禁止時間の増加・プルリクエスト＃716・fail2ban / fail2ban



ただし、このバージョンはサーバー上で更新されますが、リリースがメインラインでリリースされるまで、ディストリビューションに反映されるまでに多くの時間がかかります...たとえば、同じdebianはまだ0.8.xを使用しているため、この記事が理由です。 だから、手を振って、設定...利益。



このバージョンをfail2ban-ban-time-incr.zip （sebres masterブランチ）で入手してください。

debian-sのポート： ban-time-incr-debian.zip （マスターdebianブランチをマージしましたが、メインラインではありません-可能であればブランチを最新の状態に保つようにします）。



インストールは非常に簡単です。 既に配布キットからfail2banがインストールされている場合は、古い「fail2ban.local」と「jail.local」を「/ etc / fail2ban /」から保存します（まあ、古い「fail2ban.conf」と「jail.conf」の方が優れています） ） 念のため（フィルターとアクションの個人的な変更の可能性があるため）、ディレクトリ全体「/ etc / fail2ban /」をどこかに保存します。



次に、たとえば次のように、古いfail2banディストリビューションを破棄します。

 sudo service fail2ban stop sudo apt-get remove fail2ban
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

インストール自体：

 cd /tmp unzip ~/downloads/fail2ban-ban-time-incr.zip cd fail2ban-ban-time-incr/ sudo python setup.py install
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

[UPD]いくつかのディストリビューションでは、手動インストール中に何らかの理由でサービスがインストールされないことがあります（たとえば、 fail2ban-client start



ファイルがありません）。したがって、サービスを介してfail2ban-client start



のみを介して（自動）起動しません。 [/ UPD]



次に、新しい機能を動作させるために、オプションを追加する必要があります： bantime.increment = true



jail.local in [default]（または特定のjailごと）。 例と説明は、まだ「 jail.conf 」にあります。

ここに簡単なものがあります：

• bantime.rndtime
  
  
  
  ランダムな時間をbanTime
  
  
  
  に追加するために使用される最大時間。スマートボットネットがIPが再びブロック解除される正確な時間を計算しないようにします。 例bantime.rndtime = 10m
  
  
  
  
• bantime.factor
  
  
  
  - bantime.formula
  
  
  
  フォーミュラまたはbantime.formula
  
  
  
  乗数の成長指数を計算するための係数。デフォルト値は1です。これは、禁止時間のbantime.formula
  
  
  
  の増加に対応します。ロック時間をより積極的に増やします。
• bantime.formula
  
  
  
  次の禁止時間値を計算するためにデフォルトで使用されます、デフォルト値： bantime.formula = ban.Time * (1<<(ban.Count if ban.Count<20 else 20)) * banFactor
  
  
  
  
  
  禁止時間の同じ増加は、 bantime.multipliers
  
  
  
  等しいbantime.multipliers
  
  
  
  係数を使用して達成されます...
  
  因子「1」のより積極的な式の例で、「2.0 / 2.885385」に等しい因子に対してのみ同じ成長値を持ちます。
  
  bantime.formula = ban.Time * math.exp(float(ban.Count+1)*banFactor)/math.exp(1*banFactor)
  
  
  
  
  
  
• bantime.multipliers
  
  
  
  次の禁止時間値を計算するために、式の代わりにパラメータを個別に使用できます。 乗数の値は「-1」に等しく（リストの最後にのみ指定できます）、アドレスを永続的な禁止状態にします（手動ロック解除の前）。
  
  例1： bantime.multipliers = 1 2 4 8 16 32 64
  
  
  
  禁止時間をbantime.multipliers = 1 2 4 8 16 32 64
  
  
  
  、...増やします。最後の禁止カウントが最後の乗数インデックスよりも大きかった場合、最後の係数が常に使用されます（例では64）係数が「1」で、元の禁止時間（10分）の場合-10.6時間に相当します。
  
  例2： bantime.multipliers = 1 5 30 60 300 720 1440 2880
  
  
  
  2880-短い初期禁止時間（bantime = 60）に使用できます- 増加はより積極的になり、それぞれ1分、5分、30分、1時間、5時間、12時間、1日、2日に等しい禁止時間があります。

サンプル中または本番中に（良い）IPが偶発的に禁止に飛び込んだ（そして、それに応じて不正になった）場合、最後の禁止とdbpurgeage（fail2ban.localにある）の3回後に忘れられます（再び「白」になります） 、または以下を使用して彼の手から禁止を解除する場合：

 fail2ban-client set $JAIL unbanip $IP
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

fail2ban-regexを使用してレギュラーをテストし、パフォーマンステストのために次のようなものを使用します。

 logger -t 'test:auth' -i -p auth.info "pam_unix(test:auth): authentication failure; logname= uid=0 euid=0 tty=test ruser=admin rhost=1.2.3.4"
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

開始を忘れないでください：

 sudo service fail2ban start
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

以上で、サーバーがもう少し安全になったことを願っています。 さて、怠けずにログを見てください（信頼してください、しかし確認してください）。



PS標準追記：Fail2Banは、有用であることを期待して配布されていますが、いかなる保証もありません。 要するに-あなたの健康を使用しますが、あなた自身の危険とリスクで...

そしてあなたのサーバーが安全であるかもしれません。



PPSはい、私はほとんど忘れていました。ここで何かを終える予定です。何かはすでに準備ができています。あなたは普通にそれを作成し、それを出す必要があります。