Detektion og forebyggelse af indtrængen

Et Intrusion Prevention System (IPS) går et skridt videre end IDS-konceptet. I stedet for blot at sende advarsler griber et IPS aktivt ind for at stoppe registrerede trusler.

• Aktiv beskyttelse: Det kan automatisk blokere ondsindede IP-adresser, afslutte mistænkelige forbindelser eller afvise skadelige pakker.
• Fokus på forebyggelse: Målet er at forhindre, at indtrængningen lykkes, i realtid.
• Fail2Ban: Et populært eksempel på et værtsbaseret IPS, som vi fokuserer på i dag.

Fail2Ban er et effektivt, open source-baseret værts-IPS. Det fungerer ved at scanne logfiler (f.eks. for SSH-, web- eller mailservere) efter gentagne mislykkede loginforsøg eller andre mistænkelige mønstre.

Når Fail2Ban registrerer for mange mislykkede forsøg fra én IP-adresse inden for et angivet tidsrum, opdaterer det automatisk serverens firewallregler for midlertidigt eller permanent at blokere den pågældende IP-adresse.

Fail2Ban fungerer ved hjælp af tre centrale begreber:

• Filtre: Dette er regulære udtryk, der definerer de mønstre, der skal findes i logfiler (f.eks. 'failed password for root').
• Jails: En jail kombinerer et filter med en handling. Den angiver, hvilken logfil der skal overvåges, hvilket filter der skal bruges, og hvilken handling der skal udføres, når filterets betingelser er opfyldt.
• Handlinger: Dette er de kommandoer, der udføres, når en IP-adresse blokeres. Typisk ændrer de firewallregler (som iptables eller ufw) for at blokere kilde-IP'en.

Fail2Ban findes i standarddepoterne for de fleste Linux-distributioner. Lad os installere det på et Debian-baseret system (som Ubuntu).

Opdater først din pakkeliste, og installér derefter pakken fail2ban:

Fail2Bans primære konfigurationsfil er /etc/fail2ban/jail.conf. Du bør dog aldrig redigere denne fil direkte, fordi den kan blive overskrevet under opdateringer.

Opret i stedet en kopi med navnet /etc/fail2ban/jail.local, og foretag dine ændringer dér. Denne fil tilsidesætter indstillingerne i jail.conf.

Her er nogle vigtige globale indstillinger, som du kan konfigurere i jail.local:

• bantime: Hvor længe en IP-adresse er blokeret (f.eks. 10m for 10 minutter).
• findtime: Det tidsvindue, hvor mislykkede forsøg tælles (f.eks. 10m).
• maxretry: Antallet af mislykkede forsøg, før en IP-adresse blokeres (f.eks. 5).

En af de mest almindelige anvendelser af Fail2Ban er at beskytte SSH mod brute-force-angreb. I filen /etc/fail2ban/jail.local finder du sektioner for forskellige tjenester, som kaldes 'jails'.

For at aktivere SSH-jailen skal du typisk blot angive enabled = true under sektionen [sshd]. Du kan også tilpasse værdierne for bantime, findtime og maxretry.

Genstart Fail2Ban efter redigeringen, så ændringerne træder i kraft:

Når du har konfigureret og startet Fail2Ban, vil du gerne kontrollere status og se, om det aktivt blokerer IP-adresser. Du kan bruge kommandoen fail2ban-client til dette.

Sådan kontrollerer du Fail2Bans overordnede status:

Godt klaret! Du har lært, hvordan du føjer et aktivt forsvarslag til din server:

• IDS (Intrusion Detection System) registrerer og advarer om mistænkelig aktivitet.
• IPS (Intrusion Prevention System) registrerer, advarer om og blokerer aktivt trusler.
• Fail2Ban er et værtsbaseret IPS, der scanner logge efter ondsindede mønstre og blokerer de IP-adresser, der står bag, ved at opdatere firewallregler.
• Du har lært at installere Fail2Ban, konfigurere globale indstillinger i jail.local, aktivere bestemte jails (som SSH) og overvåge status.

Implementering af Fail2Ban forbedrer din servers modstandsdygtighed betydeligt over for brute-force-angreb og andre automatiserede trusler. Bliv ved med at øve disse færdigheder, så du kan opbygge virkelig robuste og sikre systemer!