Detección y prevención de intrusiones

¡Bienvenido a la lección final sobre seguridad de servidores! Hemos visto los firewalls y las auditorías, que son fundamentales para la prevención. Pero ¿qué ocurre si un atacante decidido intenta eludir esas defensas?

En esta lección se presentan los Intrusion Detection Systems (IDS) y los Intrusion Prevention Systems (IPS). Estas herramientas proporcionan una capa adicional de defensa activa que le ayuda a detectar y detener actividades maliciosas en su servidor.

Un Intrusion Detection System (IDS) es como un guardia de seguridad que vigila constantemente en busca de actividades sospechosas. Supervisa el tráfico de red del servidor o los registros del sistema para detectar patrones que indiquen un ataque.

• Supervisión pasiva: un IDS detecta las amenazas y le avisa.
• Sin bloqueo: no bloquea ni impide activamente la intrusión. Su función se limita a notificarla.
• Ejemplos: herramientas como Snort o Suricata pueden actuar como IDS basados en red y analizar los datos entrantes y salientes.

Un Intrusion Prevention System (IPS) lleva el concepto de IDS un paso más allá. En lugar de limitarse a enviar alertas, un IPS interviene activamente para detener las amenazas detectadas.

• Protección activa: puede bloquear automáticamente direcciones IP maliciosas, terminar conexiones sospechosas o descartar paquetes dañinos.
• Enfoque preventivo: el objetivo es impedir que la intrusión tenga éxito en tiempo real.
• Fail2Ban: es un ejemplo popular de IPS basado en host en el que nos centraremos hoy.

Fail2Ban es un potente IPS de código abierto basado en host. Funciona analizando archivos de registro, como los de SSH, servidores web o servidores de correo, en busca de repetidos intentos fallidos de inicio de sesión u otros patrones sospechosos.

Cuando detecta demasiados intentos fallidos desde una misma dirección IP dentro de un periodo determinado, Fail2Ban actualiza automáticamente las reglas del firewall del servidor para prohibir temporal o permanentemente esa dirección IP.

Fail2Ban funciona con tres conceptos fundamentales:

• Filtros: son expresiones regulares que definen los patrones que se deben buscar en los archivos de registro (por ejemplo, 'failed password for root').
• Jails: una jail combina un filtro con una acción. Especifica qué archivo de registro se debe supervisar, qué filtro se debe utilizar y qué acción se debe ejecutar cuando se cumplen las condiciones del filtro.
• Acciones: son los comandos que se ejecutan cuando se bloquea una IP y que normalmente modifican las reglas del firewall (como iptables o ufw) para bloquear la IP de origen.

Fail2Ban está disponible en los repositorios predeterminados de la mayoría de las distribuciones de Linux. Vamos a instalarlo en un sistema basado en Debian (como Ubuntu).

Primero, actualice la lista de paquetes y, después, instale el paquete fail2ban:

El archivo de configuración principal de Fail2Ban es /etc/fail2ban/jail.conf. Sin embargo, nunca debe editar este archivo directamente, ya que podría sobrescribirse durante las actualizaciones.

En su lugar, cree una copia llamada /etc/fail2ban/jail.local y realice allí los cambios. Este archivo sobrescribe la configuración de jail.conf.

Estas son algunas opciones globales importantes que puede configurar en jail.local:

• bantime: tiempo durante el que se bloquea una IP (por ejemplo, 10m para 10 minutos).
• findtime: intervalo durante el que se cuentan los intentos fallidos (por ejemplo, 10m).
• maxretry: número de intentos fallidos antes de bloquear una IP (por ejemplo, 5).

Uno de los usos más comunes de Fail2Ban es proteger SSH contra ataques de fuerza bruta. En el archivo /etc/fail2ban/jail.local encontrará secciones para distintos servicios, denominadas «jails».

Para activar la jail de SSH, normalmente solo tiene que establecer enabled = true en la sección [sshd]. También puede personalizar los valores de bantime, findtime y maxretry.

Después de editar el archivo, reinicie Fail2Ban para que los cambios surtan efecto:

Después de configurar e iniciar Fail2Ban, querrá comprobar su estado y verificar si está bloqueando IP activamente. Para ello puede utilizar el comando fail2ban-client.

Para comprobar el estado general de Fail2Ban:

¡Buen trabajo! Ha aprendido a añadir una capa activa de defensa a su servidor:

• IDS (Intrusion Detection System) detecta actividades sospechosas y genera alertas.
• IPS (Intrusion Prevention System) detecta y alerta sobre las amenazas, y además las bloquea activamente.
• Fail2Ban es un IPS basado en host que analiza los registros en busca de patrones maliciosos y bloquea las direcciones IP infractoras actualizando las reglas del firewall.
• Ha aprendido a instalar Fail2Ban, configurar opciones globales en jail.local, activar jails específicas (como SSH) y supervisar su estado.

La implementación de Fail2Ban mejora significativamente la resistencia de su servidor frente a ataques de fuerza bruta y otras amenazas automatizadas. ¡Siga practicando estas habilidades para crear sistemas realmente sólidos y seguros!