Intrångsdetektering och -förebyggande

Ett Intrusion Prevention System (IPS) tar IDS-konceptet ett steg längre. I stället för att bara varna ingriper ett IPS aktivt för att stoppa upptäckta hot.

• Aktivt skydd: Det kan automatiskt blockera skadliga IP-adresser, avsluta misstänkta anslutningar eller släppa skadliga paket.
• Fokus på förebyggande: Målet är att förhindra att intrånget lyckas i realtid.
• Fail2Ban: Ett populärt exempel på ett värdbaserat IPS, som vi fokuserar på i dag.

Fail2Ban är ett kraftfullt, open source-baserat värdbaserat IPS. Det fungerar genom att söka igenom loggfiler (till exempel för SSH, webbservrar eller e-postservrar) efter upprepade misslyckade inloggningsförsök eller andra misstänkta mönster.

När Fail2Ban upptäcker för många misslyckade försök från en och samma IP-adress inom en angiven tidsperiod uppdaterar det automatiskt serverns brandväggsregler för att tillfälligt eller permanent blockera IP-adressen.

Fail2Ban bygger på tre centrala koncept:

• Filter: Reguljära uttryck som definierar mönster att leta efter i loggfiler (t.ex. 'failed password for root').
• Jails: En jail kombinerar ett filter med en åtgärd. Den anger vilken loggfil som ska övervakas, vilket filter som ska användas och vilken åtgärd som ska utföras när filtrets villkor uppfylls.
• Åtgärder: Kommandon som körs när en IP-adress blockeras. De ändrar vanligtvis brandväggsregler (som iptables eller ufw) för att blockera käll-IP:n.

Fail2Ban finns i standardförråden för de flesta Linux-distributioner. Låt oss installera det på ett Debian-baserat system (som Ubuntu).

Uppdatera först paketlistan och installera sedan paketet fail2ban:

Fail2Bans huvudsakliga konfigurationsfil är /etc/fail2ban/jail.conf. Ni bör dock aldrig redigera den här filen direkt, eftersom den kan skrivas över vid uppdateringar.

Skapa i stället en kopia med namnet /etc/fail2ban/jail.local och gör Era ändringar där. Den här filen åsidosätter inställningarna i jail.conf.

Här är några viktiga globala inställningar som Ni kan konfigurera i jail.local:

• bantime: Hur länge en IP-adress är blockerad (t.ex. 10m i 10 minuter).
• findtime: Tidsfönstret under vilket misslyckade försök räknas (t.ex. 10m).
• maxretry: Antalet misslyckade försök innan en IP-adress blockeras (t.ex. 5).

Ett av de vanligaste användningsområdena för Fail2Ban är att skydda SSH mot brute force-attacker. I filen /etc/fail2ban/jail.local hittar Ni avsnitt för olika tjänster, så kallade ”jails”.

För att aktivera SSH-jailen behöver Ni vanligtvis bara ange enabled = true under avsnittet [sshd]. Ni kan även anpassa värdena för bantime, findtime och maxretry.

Starta om Fail2Ban efter redigeringen så att ändringarna börjar gälla:

När Ni har konfigurerat och startat Fail2Ban vill Ni kontrollera dess status och se om det aktivt blockerar IP-adresser. Ni kan använda kommandot fail2ban-client för detta.

Kontrollera Fail2Bans övergripande status:

Utmärkt arbete! Ni har lärt Er att lägga till ett aktivt försvarslager på servern:

• IDS (Intrusion Detection System) upptäcker och varnar för misstänkt aktivitet.
• IPS (Intrusion Prevention System) upptäcker, varnar och blockerar aktivt hot.
• Fail2Ban är ett värdbaserat IPS som söker igenom loggar efter skadliga mönster och blockerar angripande IP-adresser genom att uppdatera brandväggsregler.
• Ni har lärt Er att installera Fail2Ban, konfigurera globala inställningar i jail.local, aktivera specifika jails (som SSH) och övervaka dess status.

Genom att implementera Fail2Ban förbättrar Ni avsevärt serverns motståndskraft mot brute force-attacker och andra automatiserade hot. Fortsätt öva på dessa färdigheter för att bygga verkligt robusta och säkra system!