Détection et prévention des intrusions

Bienvenue dans la dernière leçon consacrée à la sécurité des serveurs ! Nous avons étudié les pare-feu et les audits, qui sont essentiels à la prévention. Mais que se passe-t-il lorsqu’un attaquant déterminé tente de contourner ces défenses ?

Cette leçon présente les systèmes de détection d’intrusion (IDS) et les systèmes de prévention d’intrusion (IPS). Ces outils ajoutent une couche de défense active et vous aident à repérer et à bloquer les activités malveillantes sur votre serveur.

Un système de détection d’intrusion (IDS) ressemble à un agent de sécurité qui surveille en permanence les activités suspectes. Il analyse le trafic réseau de votre serveur ou ses journaux système à la recherche de schémas révélateurs d’une attaque.

• Surveillance passive : un IDS détecte les menaces et vous en informe.
• Aucun blocage : il ne bloque ni n’empêche activement l’intrusion. Son rôle consiste uniquement à vous avertir.
• Exemples : des outils comme Snort ou Suricata peuvent servir d’IDS réseau et analyser les données entrantes et sortantes.

Un système de prévention d’intrusion (IPS) va plus loin que le concept d’IDS. Au lieu de se contenter d’émettre une alerte, un IPS intervient activement pour arrêter les menaces détectées.

• Protection active : il peut bloquer automatiquement les adresses IP malveillantes, mettre fin aux connexions suspectes ou supprimer les paquets dangereux.
• Objectif de prévention : empêcher l’intrusion d’aboutir en temps réel.
• Fail2Ban : un exemple populaire d’IPS basé sur l’hôte, sur lequel nous nous concentrerons aujourd’hui.

Fail2Ban est un IPS puissant et libre, basé sur l’hôte. Il analyse les fichiers journaux (par exemple ceux de SSH, des serveurs web ou des serveurs de messagerie) à la recherche de tentatives de connexion échouées répétées ou d’autres schémas suspects.

Lorsqu’il détecte trop de tentatives échouées depuis une même adresse IP pendant une période donnée, Fail2Ban met automatiquement à jour les règles du pare-feu de votre serveur afin d’interdire temporairement ou définitivement cette adresse IP.

Fail2Ban repose sur trois concepts essentiels :

• Filtres : ce sont des expressions régulières qui définissent les schémas à rechercher dans les fichiers journaux (par exemple, « failed password for root »).
• Prisons : une prison associe un filtre à une action. Elle précise quel fichier journal surveiller, quel filtre utiliser et quelle action entreprendre lorsque les conditions du filtre sont remplies.
• Actions : ce sont les commandes exécutées lorsqu’une adresse IP est interdite. Elles modifient généralement les règles du pare-feu (comme iptables ou ufw) pour bloquer l’adresse IP source.

Fail2Ban est disponible dans les dépôts par défaut de la plupart des distributions Linux. Installons-le sur un système basé sur Debian (comme Ubuntu).

Commencez par mettre à jour la liste des paquets, puis installez le paquet fail2ban :

Le fichier de configuration principal de Fail2Ban est /etc/fail2ban/jail.conf. Cependant, vous ne devez jamais modifier ce fichier directement, car il pourrait être écrasé lors des mises à jour.

Créez plutôt une copie nommée /etc/fail2ban/jail.local et effectuez vos modifications dans celle-ci. Ce fichier remplace les paramètres de jail.conf.

Voici quelques paramètres globaux importants que vous pouvez configurer dans jail.local :

• bantime : durée pendant laquelle une adresse IP est interdite (par exemple, 10m pour 10 minutes).
• findtime : période pendant laquelle les tentatives échouées sont comptabilisées (par exemple, 10m).
• maxretry : nombre de tentatives échouées avant l’interdiction d’une adresse IP (par exemple, 5).

L’une des utilisations les plus courantes de Fail2Ban consiste à protéger SSH contre les attaques par force brute. Dans votre fichier /etc/fail2ban/jail.local, vous trouverez des sections pour différents services, appelées « prisons ».

Pour activer la prison SSH, il suffit généralement de définir enabled = true dans la section [sshd]. Vous pouvez également personnaliser ses valeurs bantime, findtime et maxretry.

Après la modification, redémarrez Fail2Ban pour que les changements prennent effet :

Après avoir configuré et démarré Fail2Ban, vous voudrez vérifier son état et déterminer s’il interdit activement des adresses IP. Vous pouvez utiliser la commande fail2ban-client pour cela.

Pour vérifier l’état général de Fail2Ban :

Excellent travail ! Vous avez appris à ajouter une couche de défense active à votre serveur :

• IDS (système de détection d’intrusion) détecte les activités suspectes et vous en avertit.
• IPS (système de prévention d’intrusion) détecte les menaces, vous en avertit et les bloque activement.
• Fail2Ban est un IPS basé sur l’hôte qui analyse les journaux à la recherche de schémas malveillants et interdit les adresses IP fautives en mettant à jour les règles du pare-feu.
• Vous avez appris à installer Fail2Ban, à configurer les paramètres globaux dans jail.local, à activer des prisons spécifiques (comme SSH) et à surveiller son état.

La mise en œuvre de Fail2Ban renforce considérablement la résistance de votre serveur aux attaques par force brute et à d’autres menaces automatisées. Continuez à pratiquer ces compétences pour créer des systèmes véritablement robustes et sécurisés !