Angriffserkennung und -prävention

Willkommen zur letzten Lektion über Serversicherheit! Sie haben Firewalls und Audits kennengelernt, die für die Prävention entscheidend sind. Doch was geschieht, wenn ein entschlossener Angreifer versucht, diese Schutzmaßnahmen zu umgehen?

In dieser Lektion werden Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) vorgestellt. Diese Werkzeuge bieten eine zusätzliche Ebene aktiver Abwehr und helfen Ihnen dabei, bösartige Aktivitäten auf Ihrem Server zu erkennen und zu stoppen.

Ein Intrusion Detection System (IDS) ist wie ein Sicherheitsdienst, der ständig nach verdächtigen Aktivitäten Ausschau hält. Es überwacht den Netzwerkverkehr oder die Systemprotokolle Ihres Servers auf Muster, die auf einen Angriff hindeuten.

• Passive Überwachung: Ein IDS erkennt Bedrohungen und benachrichtigt Sie darüber.
• Keine Blockierung: Es blockiert oder verhindert den Eindringversuch nicht aktiv. Seine Aufgabe besteht ausschließlich darin, Sie zu benachrichtigen.
• Beispiele: Werkzeuge wie Snort oder Suricata können als netzwerkbasierte IDS eingesetzt werden und eingehende sowie ausgehende Daten analysieren.

Ein Intrusion Prevention System (IPS) geht einen Schritt über das IDS-Konzept hinaus. Statt lediglich zu alarmieren, greift ein IPS aktiv ein, um erkannte Bedrohungen zu stoppen.

• Aktiver Schutz: Es kann bösartige IP-Adressen automatisch blockieren, verdächtige Verbindungen beenden oder schädliche Pakete verwerfen.
• Prävention im Mittelpunkt: Ziel ist es, das erfolgreiche Eindringen in Echtzeit zu verhindern.
• Fail2Ban: Ein verbreitetes Beispiel für ein hostbasiertes IPS, auf das wir uns heute konzentrieren.

Fail2Ban ist ein leistungsfähiges, quelloffenes hostbasiertes IPS. Es durchsucht Protokolldateien (beispielsweise von SSH-, Web- oder Mailservern) nach wiederholten fehlgeschlagenen Anmeldeversuchen oder anderen verdächtigen Mustern.

Wenn innerhalb eines bestimmten Zeitraums zu viele fehlgeschlagene Versuche von einer einzelnen IP-Adresse erkannt werden, aktualisiert Fail2Ban automatisch die Firewall-Regeln Ihres Servers, um diese IP-Adresse vorübergehend oder dauerhaft zu sperren.

Fail2Ban basiert auf drei zentralen Konzepten:

• Filter: Dabei handelt es sich um reguläre Ausdrücke, die festlegen, nach welchen Mustern in Protokolldateien gesucht wird (z. B. „failed password for root“).
• Jails: Ein Jail kombiniert einen Filter mit einer Aktion. Es legt fest, welche Protokolldatei überwacht wird, welcher Filter verwendet wird und welche Aktion auszuführen ist, wenn die Bedingungen des Filters erfüllt sind.
• Aktionen: Dies sind die Befehle, die ausgeführt werden, wenn eine IP-Adresse gesperrt wird. Typischerweise ändern sie Firewall-Regeln (wie iptables oder ufw), um die Quell-IP-Adresse zu blockieren.

Fail2Ban ist in den Standard-Repositories der meisten Linux-Distributionen verfügbar. Installieren wir es auf einem Debian-basierten System (wie Ubuntu).

Aktualisieren Sie zunächst Ihre Paketliste und installieren Sie anschließend das Paket fail2ban:

Die wichtigste Konfigurationsdatei von Fail2Ban ist /etc/fail2ban/jail.conf. Sie sollten diese Datei jedoch niemals direkt bearbeiten, da sie bei Aktualisierungen überschrieben werden könnte.

Erstellen Sie stattdessen eine Kopie mit dem Namen /etc/fail2ban/jail.local und nehmen Sie Ihre Änderungen dort vor. Diese Datei überschreibt die Einstellungen in jail.conf.

Hier sind einige wichtige globale Einstellungen, die Sie in jail.local konfigurieren können:

• bantime: Wie lange eine IP-Adresse gesperrt bleibt (z. B. 10m für 10 Minuten).
• findtime: Der Zeitraum, in dem fehlgeschlagene Versuche gezählt werden (z. B. 10m).
• maxretry: Anzahl der fehlgeschlagenen Versuche, bevor eine IP-Adresse gesperrt wird (z. B. 5).

Eine der häufigsten Anwendungen von Fail2Ban ist der Schutz von SSH vor Brute-Force-Angriffen. In Ihrer Datei /etc/fail2ban/jail.local finden Sie Abschnitte für verschiedene Dienste, die als „Jails“ bezeichnet werden.

Um das SSH-Jail zu aktivieren, müssen Sie normalerweise lediglich unter dem Abschnitt [sshd] die Einstellung enabled = true setzen. Sie können außerdem die Werte für bantime, findtime und maxretry anpassen.

Starten Sie Fail2Ban nach der Bearbeitung neu, damit die Änderungen wirksam werden:

Nachdem Sie Fail2Ban konfiguriert und gestartet haben, sollten Sie seinen Status überprüfen und feststellen, ob IP-Adressen aktiv gesperrt werden. Dafür können Sie den Befehl fail2ban-client verwenden.

So überprüfen Sie den Gesamtstatus von Fail2Ban:

Sie haben Fail2Ban zum Schutz Ihres SSH-Dienstes konfiguriert. Sie haben maxretry = 3 und bantime = 1h festgelegt.

Ein Angreifer versucht, sich über SSH anzumelden:

1. Fehlgeschlagene Anmeldung um 10:00:00
2. Fehlgeschlagene Anmeldung um 10:00:30
3. Fehlgeschlagene Anmeldung um 10:01:00
4. Fehlgeschlagene Anmeldung um 10:01:30

Angenommen, findtime ist auf 10 Minuten eingestellt: Was geschieht mit der IP-Adresse des Angreifers?

Sehr gut! Sie haben gelernt, wie Sie Ihrem Server eine aktive Schutzebene hinzufügen:

• IDS (Intrusion Detection System) erkennt verdächtige Aktivitäten und meldet sie.
• IPS (Intrusion Prevention System) erkennt und meldet Bedrohungen und blockiert sie aktiv.
• Fail2Ban ist ein hostbasiertes IPS, das Protokolle nach bösartigen Mustern durchsucht und auffällige IP-Adressen durch das Aktualisieren der Firewall-Regeln sperrt.
• Sie haben gelernt, Fail2Ban zu installieren, globale Einstellungen in jail.local zu konfigurieren, bestimmte Jails (wie SSH) zu aktivieren und den Status zu überwachen.

Die Implementierung von Fail2Ban erhöht die Widerstandsfähigkeit Ihres Servers gegen Brute-Force-Angriffe und andere automatisierte Bedrohungen erheblich. Üben Sie diese Kenntnisse weiter, um wirklich robuste und sichere Systeme aufzubauen!