0Pricing
Linux Server Deployment & SSH Mastery · บทเรียน

การตรวจจับและป้องกันการบุกรุก

ตั้งค่าและกำหนดค่าระบบตรวจจับการบุกรุก (IDS) เช่น Fail2Ban และทำความเข้าใจหลักการของระบบป้องกันการบุกรุก (IPS) เพื่อปกป้องเซิร์ฟเวอร์อย่างเชิงรุก

การตรวจจับและป้องกันการบุกรุก เป็นบทเรียน Linux Server Deployment & SSH Mastery ฟรีบน CoddyKit นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Linux Server Deployment & SSH Mastery และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Linux Server Deployment & SSH Mastery มีบทเรียนทั้งหมด 4 บทเรียน

เหนือกว่าไฟร์วอลล์: การป้องกันเชิงรุก

ยินดีต้อนรับสู่บทเรียนสุดท้ายเกี่ยวกับความปลอดภัยของเซิร์ฟเวอร์ครับ เราได้กล่าวถึงไฟร์วอลล์และการตรวจสอบระบบ ซึ่งมีความสำคัญต่อการป้องกัน แต่หากผู้โจมตีที่มุ่งมั่นพยายามหลบเลี่ยงการป้องกันเหล่านั้นจะทำอย่างไร

บทเรียนนี้จะแนะนำ ระบบตรวจจับการบุกรุก (IDS) และ ระบบป้องกันการบุกรุก (IPS) เครื่องมือเหล่านี้เพิ่มการป้องกันเชิงรุกอีกชั้นหนึ่ง ช่วยให้คุณตรวจพบและหยุดกิจกรรมที่เป็นอันตรายบนเซิร์ฟเวอร์ได้

IDS คืออะไร

ระบบตรวจจับการบุกรุก (IDS) เปรียบเสมือนเจ้าหน้าที่รักษาความปลอดภัยที่เฝ้าระวังกิจกรรมที่น่าสงสัยอยู่ตลอดเวลา โดยตรวจสอบการรับส่งข้อมูลเครือข่ายหรือบันทึกระบบของเซิร์ฟเวอร์เพื่อหารูปแบบที่บ่งชี้ถึงการโจมตี

  • การตรวจสอบแบบพาสซีฟ: IDS ตรวจจับภัยคุกคามและแจ้งเตือนคุณ
  • ไม่มีการบล็อก: ระบบจะไม่บล็อกหรือป้องกันการบุกรุกโดยตรง หน้าที่ของระบบคือการแจ้งเตือนเท่านั้น
  • ตัวอย่าง: เครื่องมืออย่าง Snort หรือ Suricata สามารถทำหน้าที่เป็น IDS บนเครือข่าย โดยวิเคราะห์ข้อมูลขาเข้าและขาออก

IPS คืออะไร

ระบบป้องกันการบุกรุก (IPS) ต่อยอดแนวคิดของ IDS ไปอีกขั้น แทนที่จะแจ้งเตือนเพียงอย่างเดียว IPS จะเข้าขัดขวางภัยคุกคามที่ตรวจพบโดยอัตโนมัติ

  • การป้องกันเชิงรุก: ระบบสามารถบล็อกที่อยู่ IP ที่เป็นอันตราย ยุติการเชื่อมต่อที่น่าสงสัย หรือทิ้งแพ็กเก็ตที่เป็นอันตรายได้โดยอัตโนมัติ
  • มุ่งเน้นการป้องกัน: เป้าหมายคือป้องกันไม่ให้การบุกรุกสำเร็จแบบเรียลไทม์
  • Fail2Ban: ตัวอย่างยอดนิยมของ IPS ที่ทำงานบนโฮสต์ ซึ่งเราจะเน้นศึกษาในวันนี้

แนะนำ Fail2Ban

Fail2Ban คือ IPS แบบโอเพนซอร์สที่ทำงานบนโฮสต์และมีประสิทธิภาพสูง โดยสแกนไฟล์บันทึก (เช่น ไฟล์ของ SSH เซิร์ฟเวอร์เว็บ หรือเซิร์ฟเวอร์อีเมล) เพื่อค้นหาความพยายามเข้าสู่ระบบที่ล้มเหลวซ้ำ ๆ หรือรูปแบบที่น่าสงสัยอื่น ๆ

เมื่อพบความพยายามที่ล้มเหลวจาก IP เดียวกันมากเกินไปภายในเวลาที่กำหนด Fail2Ban จะอัปเดตกฎไฟร์วอลล์ของเซิร์ฟเวอร์โดยอัตโนมัติ เพื่อแบน IP นั้นชั่วคราวหรือถาวร

Fail2Ban ทำงานอย่างไร

Fail2Ban ทำงานโดยใช้แนวคิดหลักสามประการ:

  • ตัวกรอง: นิพจน์ทั่วไปที่กำหนดรูปแบบสำหรับค้นหาในไฟล์บันทึก (เช่น 'failed password for root')
  • คุก: คุกจะรวมตัวกรองเข้ากับการดำเนินการ โดยระบุว่าจะตรวจสอบไฟล์บันทึกใด ใช้ตัวกรองใด และดำเนินการอะไรเมื่อเงื่อนไขของตัวกรองเป็นจริง
  • การดำเนินการ: คำสั่งที่ทำงานเมื่อมีการแบน IP โดยทั่วไปจะปรับเปลี่ยนกฎไฟร์วอลล์ (เช่น iptables หรือ ufw) เพื่อบล็อก IP ต้นทาง

การติดตั้ง Fail2Ban

Fail2Ban มีอยู่ในคลังแพ็กเกจเริ่มต้นของ Linux ดิสทริบิวชันส่วนใหญ่ มาติดตั้งบนระบบที่ใช้ Debian เป็นพื้นฐาน (เช่น Ubuntu) กันครับ

ขั้นแรกให้อัปเดตรายการแพ็กเกจ จากนั้นติดตั้งแพ็กเกจ fail2ban:

sudo apt update
sudo apt install fail2ban

การกำหนดค่าพื้นฐาน: jail.local

ไฟล์การกำหนดค่าหลักของ Fail2Ban คือ /etc/fail2ban/jail.conf อย่างไรก็ตาม คุณไม่ควร แก้ไขไฟล์นี้โดยตรง เพราะไฟล์อาจถูกเขียนทับระหว่างการอัปเดต

ให้สร้างสำเนาชื่อ /etc/fail2ban/jail.local แล้วแก้ไขที่ไฟล์นั้นแทน ไฟล์นี้จะเขียนทับการตั้งค่าใน jail.conf

ต่อไปนี้คือการตั้งค่าระดับส่วนกลางที่สำคัญซึ่งคุณอาจกำหนดใน jail.local:

  • bantime: ระยะเวลาที่ IP ถูกแบน (เช่น 10m สำหรับ 10 นาที)
  • findtime: ช่วงเวลาที่ใช้รวบรวมความพยายามที่ล้มเหลว (เช่น 10m)
  • maxretry: จำนวนความพยายามที่ล้มเหลวก่อนแบน IP (เช่น 5)

การเปิดใช้การป้องกัน SSH

หนึ่งในการใช้งาน Fail2Ban ที่พบบ่อยที่สุดคือการป้องกัน SSH จากการโจมตีแบบเดารหัสผ่าน ในไฟล์ /etc/fail2ban/jail.local คุณจะพบส่วนสำหรับบริการต่าง ๆ ซึ่งเรียกว่า 'คุก'

โดยทั่วไป หากต้องการเปิดใช้คุก SSH เพียงกำหนด enabled = true ในส่วน [sshd] นอกจากนี้คุณยังปรับค่า bantime, findtime และ maxretry ได้

หลังแก้ไขแล้ว ให้เริ่มการทำงาน Fail2Ban ใหม่เพื่อให้การเปลี่ยนแปลงมีผล:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1h

sudo systemctl restart fail2ban

การตรวจสอบ Fail2Ban

หลังจากกำหนดค่าและเริ่มการทำงาน Fail2Ban แล้ว คุณควรตรวจสอบสถานะและดูว่าระบบกำลังแบน IP อยู่หรือไม่ โดยใช้คำสั่ง fail2ban-client

หากต้องการตรวจสอบสถานะโดยรวมของ Fail2Ban:

sudo systemctl status fail2ban

ตรวจสอบด่วน: การกำหนดค่า Fail2Ban

คุณได้กำหนดค่า Fail2Ban เพื่อป้องกันบริการ SSH แล้ว โดยตั้งค่า maxretry = 3 และ bantime = 1h

ผู้โจมตีพยายามเข้าสู่ระบบผ่าน SSH:

  1. เข้าสู่ระบบล้มเหลวเวลา 10:00:00
  2. เข้าสู่ระบบล้มเหลวเวลา 10:00:30
  3. เข้าสู่ระบบล้มเหลวเวลา 10:01:00
  4. เข้าสู่ระบบล้มเหลวเวลา 10:01:30

หากกำหนด findtime ไว้ที่ 10 นาที จะเกิดอะไรขึ้นกับที่อยู่ IP ของผู้โจมตี

สรุป: IDS, IPS และ Fail2Ban

ทำได้ดีมากครับ คุณได้เรียนรู้วิธีเพิ่มการป้องกันเชิงรุกให้กับเซิร์ฟเวอร์แล้ว:

  • IDS (ระบบตรวจจับการบุกรุก) ตรวจจับและแจ้งเตือนเกี่ยวกับกิจกรรมที่น่าสงสัย
  • IPS (ระบบป้องกันการบุกรุก) ตรวจจับ แจ้งเตือน และบล็อกภัยคุกคามอย่าง सक्रिय
  • Fail2Ban คือ IPS ที่ทำงานบนโฮสต์ โดยสแกนบันทึกเพื่อหารูปแบบที่เป็นอันตรายและแบนที่อยู่ IP ที่ก่อปัญหาด้วยการอัปเดตกฎไฟร์วอลล์
  • คุณได้เรียนรู้การติดตั้ง Fail2Ban การกำหนดค่าระดับส่วนกลางใน jail.local การเปิดใช้คุกเฉพาะ (เช่น SSH) และการตรวจสอบสถานะ

การใช้ Fail2Ban ช่วยเพิ่มความทนทานของเซิร์ฟเวอร์ต่อการโจมตีแบบเดารหัสผ่านและภัยคุกคามอัตโนมัติอื่น ๆ ได้อย่างมาก โปรดฝึกฝนทักษะเหล่านี้ต่อไปเพื่อสร้างระบบที่แข็งแกร่งและปลอดภัยอย่างแท้จริง

คำถามที่พบบ่อย

บทเรียน “การตรวจจับและป้องกันการบุกรุก” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การตรวจจับและป้องกันการบุกรุก” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Linux Server Deployment & SSH Mastery ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Linux Server Deployment & SSH Mastery มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การตรวจจับและป้องกันการบุกรุก”

ตั้งค่าและกำหนดค่าระบบตรวจจับการบุกรุก (IDS) เช่น Fail2Ban และทำความเข้าใจหลักการของระบบป้องกันการบุกรุก (IPS) เพื่อปกป้องเซิร์ฟเวอร์อย่างเชิงรุก คุณปฏิบัติ Linux Server Deployment & SSH Mastery ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Linux Server Deployment & SSH Mastery หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Linux Server Deployment & SSH Mastery บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน

บทเรียน “การตรวจจับและป้องกันการบุกรุก” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Linux Server Deployment & SSH Mastery นี้ได้ไหม

ได้ บทเรียน Linux Server Deployment & SSH Mastery ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

  1. การตรวจสอบความปลอดภัยเซิร์ฟเวอร์
  2. กฎไฟร์วอลล์ขั้นสูง (IPTables)
  3. การตรวจจับและป้องกันการบุกรุก
  4. การบันทึกแบบรวมศูนย์และการผสานรวม SIEM
← กลับไปที่ Linux Server Deployment & SSH Mastery