Detecção e Prevenção de Intrusões

Bem-vindo à lição final sobre segurança de servidores! Abordamos firewalls e auditorias, que são fundamentais para a prevenção. Mas o que acontece se um invasor determinado tentar contornar essas defesas?

Esta lição apresenta os sistemas de detecção de intrusão (IDS) e os sistemas de prevenção de intrusão (IPS). Essas ferramentas oferecem uma camada extra de defesa ativa, ajudando você a identificar e interromper atividades maliciosas no servidor.

Um sistema de detecção de intrusão (IDS) é como um segurança que observa constantemente atividades suspeitas. Ele monitora o tráfego de rede do servidor ou os registros do sistema em busca de padrões que indiquem um ataque.

• Monitoramento passivo: um IDS detecta ameaças e alerta você sobre elas.
• Sem bloqueio: ele não bloqueia nem impede ativamente a intrusão. Sua função é apenas notificar.
• Exemplos: ferramentas como Snort ou Suricata podem atuar como IDS baseados em rede, analisando dados de entrada e de saída.

Um sistema de prevenção de intrusão (IPS) leva o conceito de IDS um passo adiante. Em vez de apenas emitir alertas, um IPS intervém ativamente para interromper as ameaças detectadas.

• Proteção ativa: ele pode bloquear automaticamente endereços IP maliciosos, encerrar conexões suspeitas ou descartar pacotes nocivos.
• Foco na prevenção: o objetivo é impedir que a intrusão seja bem-sucedida em tempo real.
• Fail2Ban: um exemplo popular de IPS baseado no host, no qual vamos nos concentrar hoje.

O Fail2Ban é um IPS poderoso e de código aberto baseado no host. Ele funciona examinando arquivos de registro (como os de SSH, servidores web ou servidores de e-mail) em busca de repetidas tentativas de login malsucedidas ou outros padrões suspeitos.

Quando detecta tentativas malsucedidas demais de um único endereço IP dentro de um período especificado, o Fail2Ban atualiza automaticamente as regras do firewall do servidor para banir temporária ou permanentemente esse endereço IP.

O Fail2Ban funciona com base em três conceitos principais:

• Filtros: são expressões regulares que definem os padrões a serem procurados nos arquivos de registro (por exemplo, 'failed password for root').
• Jails: um jail combina um filtro com uma ação. Ele especifica qual arquivo de registro monitorar, qual filtro usar e qual ação executar quando as condições do filtro forem atendidas.
• Ações: são os comandos executados quando um IP é banido, normalmente modificando as regras do firewall (como iptables ou ufw) para bloquear o IP de origem.

O Fail2Ban está disponível nos repositórios padrão da maioria das distribuições Linux. Vamos instalá-lo em um sistema baseado em Debian (como o Ubuntu).

Primeiro, atualize a lista de pacotes e depois instale o pacote fail2ban:

O principal arquivo de configuração do Fail2Ban é /etc/fail2ban/jail.conf. No entanto, você nunca deve editar esse arquivo diretamente, pois ele pode ser substituído durante as atualizações.

Em vez disso, crie uma cópia chamada /etc/fail2ban/jail.local e faça suas alterações nela. Esse arquivo substitui as configurações de jail.conf.

Veja algumas configurações globais importantes que você pode definir em jail.local:

• bantime: por quanto tempo um IP fica banido (por exemplo, 10m para 10 minutos).
• findtime: o intervalo durante o qual as tentativas malsucedidas são contabilizadas (por exemplo, 10m).
• maxretry: número de tentativas malsucedidas antes que um IP seja banido (por exemplo, 5).

Um dos usos mais comuns do Fail2Ban é proteger o SSH contra ataques de força bruta. No arquivo /etc/fail2ban/jail.local, você encontrará seções para diferentes serviços, chamadas de 'jails'.

Para ativar o jail do SSH, normalmente basta definir enabled = true na seção [sshd]. Você também pode personalizar os valores de bantime, findtime e maxretry.

Depois de editar o arquivo, reinicie o Fail2Ban para que as alterações entrem em vigor:

Depois de configurar e iniciar o Fail2Ban, você deverá verificar o status dele e confirmar se está banindo IPs ativamente. Para isso, use o comando fail2ban-client.

Para verificar o status geral do Fail2Ban:

Excelente trabalho! Você aprendeu a adicionar uma camada ativa de defesa ao seu servidor:

• IDS (sistema de detecção de intrusão) detecta e alerta sobre atividades suspeitas.
• IPS (sistema de prevenção de intrusão) detecta, alerta e bloqueia ativamente as ameaças.
• Fail2Ban é um IPS baseado no host que examina os registros em busca de padrões maliciosos e bane os endereços IP responsáveis, atualizando as regras do firewall.
• Você aprendeu a instalar o Fail2Ban, configurar definições globais em jail.local, ativar jails específicos (como o SSH) e monitorar o status deles.

Implementar o Fail2Ban aumenta significativamente a resistência do servidor contra ataques de força bruta e outras ameaças automatizadas. Continue praticando essas habilidades para criar sistemas realmente robustos e seguros!