Wykrywanie i zapobieganie włamaniom

Witamy na ostatniej lekcji dotyczącej bezpieczeństwa serwerów! Omówiliśmy zapory sieciowe i audyty, które mają kluczowe znaczenie dla zapobiegania zagrożeniom. Co jednak w sytuacji, gdy zdeterminowany napastnik spróbuje ominąć te zabezpieczenia?

W tej lekcji przedstawimy Intrusion Detection Systems (IDS) oraz Intrusion Prevention Systems (IPS). Narzędzia te zapewniają dodatkową warstwę aktywnej ochrony, pomagając wykrywać i zatrzymywać złośliwą aktywność na serwerze.

Intrusion Detection System (IDS) przypomina ochroniarza, który nieustannie wypatruje podejrzanej aktywności. Monitoruje ruch sieciowy serwera lub jego dzienniki systemowe w poszukiwaniu wzorców wskazujących na atak.

• Monitorowanie pasywne: IDS wykrywa zagrożenia i informuje o nich.
• Brak blokowania: Nie blokuje aktywnie włamania ani mu nie zapobiega. Jego zadaniem jest wyłącznie powiadamianie.
• Przykłady: Narzędzia takie jak Snort lub Suricata mogą działać jako sieciowe systemy IDS, analizując przychodzące i wychodzące dane.

Intrusion Prevention System (IPS) rozwija koncepcję IDS. Zamiast jedynie wysyłać alerty, IPS aktywnie interweniuje, aby zatrzymać wykryte zagrożenia.

• Aktywna ochrona: Może automatycznie blokować złośliwe adresy IP, kończyć podejrzane połączenia lub odrzucać szkodliwe pakiety.
• Zapobieganie: Celem jest niedopuszczenie do skutecznego włamania w czasie rzeczywistym.
• Fail2Ban: Popularny przykład hostowego systemu IPS, na którym skupimy się w tej lekcji.

Fail2Ban to zaawansowany, otwartoźródłowy hostowy system IPS. Działa poprzez skanowanie plików dzienników (np. dzienników SSH, serwerów WWW lub serwerów pocztowych) w poszukiwaniu powtarzających się nieudanych prób logowania lub innych podejrzanych wzorców.

Gdy wykryje zbyt wiele nieudanych prób z jednego adresu IP w określonym czasie, Fail2Ban automatycznie aktualizuje reguły zapory serwera, aby tymczasowo lub trwale zablokować ten adres IP.

Fail2Ban działa w oparciu o trzy podstawowe pojęcia:

• Filtry: Są to wyrażenia regularne określające wzorce wyszukiwane w plikach dzienników (np. „failed password for root”).
• Jails: Jail łączy filtr z akcją. Określa, który plik dziennika monitorować, którego filtra użyć oraz jaką akcję wykonać po spełnieniu warunków filtra.
• Akcje: Są to polecenia wykonywane po zablokowaniu adresu IP, zwykle modyfikujące reguły zapory (np. iptables lub ufw) w celu zablokowania źródłowego adresu IP.

Fail2Ban jest dostępny w domyślnych repozytoriach większości dystrybucji Linux. Zainstalujmy go w systemie opartym na Debianie (takim jak Ubuntu).

Najpierw zaktualizuj listę pakietów, a następnie zainstaluj pakiet fail2ban:

Głównym plikiem konfiguracyjnym Fail2Ban jest /etc/fail2ban/jail.conf. Nie należy jednak nigdy edytować tego pliku bezpośrednio, ponieważ może on zostać nadpisany podczas aktualizacji.

Zamiast tego utwórz kopię o nazwie /etc/fail2ban/jail.local i wprowadzaj zmiany właśnie w niej. Ten plik zastępuje ustawienia z jail.conf.

Oto kilka ważnych ustawień globalnych, które można skonfigurować w pliku jail.local:

• bantime: czas blokady adresu IP (np. 10m, czyli 10 minut).
• findtime: przedział czasu, w którym zliczane są nieudane próby (np. 10m).
• maxretry: liczba nieudanych prób przed zablokowaniem adresu IP (np. 5).

Jednym z najczęstszych zastosowań Fail2Ban jest ochrona SSH przed atakami brute force. W pliku /etc/fail2ban/jail.local znajdują się sekcje dotyczące różnych usług, nazywane „jails”.

Aby włączyć jail SSH, zazwyczaj wystarczy ustawić enabled = true w sekcji [sshd]. Można również dostosować wartości bantime, findtime i maxretry.

Po zakończeniu edycji uruchom Fail2Ban ponownie, aby zmiany zaczęły obowiązywać:

Po skonfigurowaniu i uruchomieniu Fail2Ban warto sprawdzić jego stan oraz upewnić się, czy aktywnie blokuje adresy IP. Można w tym celu użyć polecenia fail2ban-client.

Aby sprawdzić ogólny stan Fail2Ban:

Skonfigurowali Państwo Fail2Ban do ochrony usługi SSH. Ustawili Państwo maxretry = 3 oraz bantime = 1h.

Napastnik próbuje zalogować się przez SSH:

1. Nieudane logowanie o 10:00:00
2. Nieudane logowanie o 10:00:30
3. Nieudane logowanie o 10:01:00
4. Nieudane logowanie o 10:01:30

Zakładając, że parametr findtime jest ustawiony na 10 minut, co stanie się z adresem IP napastnika?

Świetna praca! Poznali Państwo sposób dodawania aktywnej warstwy ochrony serwera:

• IDS (Intrusion Detection System) wykrywa podejrzaną aktywność i generuje alerty.
• IPS (Intrusion Prevention System) wykrywa zagrożenia, generuje alerty i aktywnie je blokuje.
• Fail2Ban to hostowy system IPS, który skanuje dzienniki w poszukiwaniu złośliwych wzorców i blokuje odpowiadające im adresy IP, aktualizując reguły zapory.
• Dowiedzieli się Państwo, jak zainstalować Fail2Ban, skonfigurować ustawienia globalne w pliku jail.local, włączyć konkretne jails (np. SSH) i monitorować ich stan.

Wdrożenie Fail2Ban znacznie zwiększa odporność serwera na ataki brute force i inne zautomatyzowane zagrożenia. Warto dalej ćwiczyć te umiejętności, aby tworzyć naprawdę niezawodne i bezpieczne systemy!