Обнаружение и предотвращение вторжений

Добро пожаловать на последний урок по безопасности серверов! Мы рассмотрели межсетевые экраны и аудит — важнейшие средства предотвращения атак. Но что, если решительный злоумышленник попытается обойти эту защиту?

В этом уроке рассматриваются системы обнаружения вторжений (IDS) и системы предотвращения вторжений (IPS). Эти инструменты обеспечивают дополнительный уровень активной защиты, помогая обнаруживать и останавливать вредоносную активность на сервере.

Система обнаружения вторжений (IDS) подобна охраннику, который постоянно следит за подозрительной активностью. Она отслеживает сетевой трафик сервера или системные журналы в поисках признаков атаки.

• Пассивный мониторинг: IDS обнаруживает угрозы и сообщает о них.
• Без блокировки: система не блокирует и не предотвращает вторжение напрямую. Её задача — только уведомить Вас.
• Примеры: такие инструменты, как Snort или Suricata, могут работать как сетевые IDS, анализируя входящие и исходящие данные.

Система предотвращения вторжений (IPS) развивает концепцию IDS. Вместо простого оповещения IPS активно вмешивается, чтобы остановить обнаруженные угрозы.

• Активная защита: система может автоматически блокировать вредоносные IP-адреса, завершать подозрительные подключения или отбрасывать опасные пакеты.
• Ориентация на предотвращение: цель состоит в том, чтобы в реальном времени не дать вторжению завершиться успешно.
• Fail2Ban: популярный пример IPS на уровне узла, которому посвящён этот урок.

Fail2Ban — мощная IPS с открытым исходным кодом, работающая на уровне узла. Она сканирует журнальные файлы (например, журналы SSH, веб-серверов или почтовых серверов) в поисках повторяющихся неудачных попыток входа и других подозрительных признаков.

Обнаружив слишком много неудачных попыток с одного IP-адреса за заданный промежуток времени, Fail2Ban автоматически обновляет правила межсетевого экрана сервера, временно или навсегда блокируя этот IP-адрес.

Fail2Ban использует три основных понятия:

• Фильтры: регулярные выражения, задающие признаки, которые нужно искать в журнальных файлах (например, «failed password for root»).
• Тюрьмы: тюрьма объединяет фильтр и действие. Она определяет, какой журнальный файл отслеживать, какой фильтр использовать и какое действие выполнять при выполнении условий фильтра.
• Действия: команды, выполняемые при блокировке IP-адреса; обычно они изменяют правила межсетевого экрана (например, iptables или ufw), чтобы заблокировать исходный IP-адрес.

Fail2Ban доступен в стандартных репозиториях большинства дистрибутивов Linux. Установим его в системе на основе Debian, например Ubuntu.

Сначала обновите список пакетов, затем установите пакет fail2ban:

Основной файл конфигурации Fail2Ban — /etc/fail2ban/jail.conf. Однако никогда не редактируйте этот файл напрямую, поскольку он может быть перезаписан во время обновлений.

Вместо этого создайте копию с именем /etc/fail2ban/jail.local и вносите изменения в неё. Этот файл переопределяет настройки из jail.conf.

Ниже приведены некоторые основные глобальные настройки, которые можно задать в jail.local:

• bantime: длительность блокировки IP-адреса (например, 10m — 10 минут).
• findtime: период, в течение которого подсчитываются неудачные попытки (например, 10m).
• maxretry: число неудачных попыток до блокировки IP-адреса (например, 5).

Один из самых распространённых вариантов применения Fail2Ban — защита SSH от атак методом перебора. В файле /etc/fail2ban/jail.local Вы найдёте разделы для разных сервисов, называемые «тюрьмами».

Чтобы включить тюрьму SSH, обычно достаточно задать enabled = true в разделе [sshd]. Также можно настроить значения bantime, findtime и maxretry.

После редактирования перезапустите Fail2Ban, чтобы изменения вступили в силу:

После настройки и запуска Fail2Ban проверьте его состояние и убедитесь, что он действительно блокирует IP-адреса. Для этого можно использовать команду fail2ban-client.

Чтобы проверить общее состояние Fail2Ban:

Вы настроили Fail2Ban для защиты SSH-сервиса. Вы задали maxretry = 3 и bantime = 1h.

Злоумышленник пытается войти через SSH:

1. Неудачный вход в 10:00:00
2. Неудачный вход в 10:00:30
3. Неудачный вход в 10:01:00
4. Неудачный вход в 10:01:30

Предположим, что для findtime задано значение 10 минут. Что произойдёт с IP-адресом злоумышленника?

Отличная работа! Вы научились добавлять к серверу активный уровень защиты:

• IDS (система обнаружения вторжений) обнаруживает подозрительную активность и сообщает о ней.
• IPS (система предотвращения вторжений) обнаруживает угрозы, сообщает о них и активно блокирует их.
• Fail2Ban — IPS на уровне узла, которая сканирует журналы в поисках вредоносных признаков и блокирует IP-адреса нарушителей, обновляя правила межсетевого экрана.
• Вы научились устанавливать Fail2Ban, настраивать глобальные параметры в jail.local, включать отдельные тюрьмы (например, SSH) и отслеживать состояние системы.

Использование Fail2Ban значительно повышает устойчивость сервера к атакам методом перебора и другим автоматизированным угрозам. Продолжайте практиковаться, чтобы создавать действительно надёжные и защищённые системы!