Saldırı Tespiti ve Önleme

Sunucu güvenliğiyle ilgili son derse hoş geldiniz! Önleme açısından kritik olan güvenlik duvarlarını ve denetimleri ele aldık. Peki kararlı bir saldırgan bu savunmaları aşmaya çalışırsa ne olur?

Bu derste Saldırı Tespit Sistemleri (IDS) ve Saldırı Önleme Sistemleri (IPS) tanıtılmaktadır. Bu araçlar, sunucunuzdaki kötü amaçlı etkinlikleri fark etmenize ve durdurmanıza yardımcı olan ek bir etkin savunma katmanı sağlar.

Bir Saldırı Tespit Sistemi (IDS), şüpheli etkinlikleri sürekli izleyen bir güvenlik görevlisi gibidir. Sunucunuzun ağ trafiğini veya sistem günlüklerini, bir saldırıya işaret eden kalıplar açısından izler.

• Pasif İzleme: IDS tehditleri tespit eder ve sizi uyarır.
• Engelleme Yok: Saldırıyı etkin olarak engellemez veya önlemez. Görevi yalnızca bildirimde bulunmaktır.
• Örnekler: Snort veya Suricata gibi araçlar, gelen ve giden verileri analiz eden ağ tabanlı IDS olarak çalışabilir.

Bir Saldırı Önleme Sistemi (IPS), IDS kavramını bir adım ileri taşır. Yalnızca uyarı vermek yerine, tespit edilen tehditleri durdurmak için etkin biçimde müdahale eder.

• Etkin Koruma: Kötü amaçlı IP adreslerini otomatik olarak engelleyebilir, şüpheli bağlantıları sonlandırabilir veya zararlı paketleri düşürebilir.
• Önleme Odağı: Amaç, saldırının gerçek zamanlı olarak başarıya ulaşmasını önlemektir.
• Fail2Ban: Bugün üzerinde duracağımız, ana bilgisayar tabanlı IPS için popüler bir örnektir.

Fail2Ban, güçlü ve açık kaynaklı, ana bilgisayar tabanlı bir IPS'dir. SSH, web sunucuları veya posta sunucularına ait günlük dosyalarını, tekrarlanan başarısız giriş denemeleri ya da diğer şüpheli kalıplar açısından tarayarak çalışır.

Belirli bir süre içinde tek bir IP adresinden çok fazla başarısız deneme yapıldığını tespit ettiğinde Fail2Ban, bu IP adresini geçici veya kalıcı olarak yasaklamak için sunucunuzun güvenlik duvarı kurallarını otomatik olarak günceller.

Fail2Ban üç temel kavramı kullanarak çalışır:

• Filtreler: Günlük dosyalarında aranacak kalıpları tanımlayan düzenli ifadelerdir (ör. 'failed password for root').
• Kafesler: Bir kafes, bir filtreyi bir eylemle birleştirir. Hangi günlük dosyasının izleneceğini, hangi filtrenin kullanılacağını ve filtrenin koşulları karşılandığında hangi eylemin gerçekleştirileceğini belirtir.
• Eylemler: Bir IP yasaklandığında yürütülen komutlardır. Genellikle kaynak IP'yi engellemek için güvenlik duvarı kurallarını (iptables veya ufw gibi) değiştirirler.

Fail2Ban, çoğu Linux dağıtımının varsayılan depolarında bulunur. Debian tabanlı bir sisteme (Ubuntu gibi) kuralım.

Önce paket listenizi güncelleyin, ardından fail2ban paketini kurun:

Fail2Ban'ın ana yapılandırma dosyası /etc/fail2ban/jail.conf konumundadır. Ancak bu dosyayı doğrudan hiçbir zaman düzenlememelisiniz; güncellemeler sırasında üzerine yazılabilir.

Bunun yerine /etc/fail2ban/jail.local adında bir kopya oluşturun ve değişikliklerinizi burada yapın. Bu dosya, jail.conf içindeki ayarları geçersiz kılar.

jail.local içinde yapılandırabileceğiniz bazı önemli genel ayarlar şunlardır:

• bantime: Bir IP'nin ne kadar süreyle yasaklanacağı (ör. 10 dakika için 10m).
• findtime: Başarısız denemelerin sayıldığı zaman aralığı (ör. 10m).
• maxretry: Bir IP yasaklanmadan önce izin verilen başarısız deneme sayısı (ör. 5).

Fail2Ban'ın en yaygın kullanım alanlarından biri SSH'yi kaba kuvvet saldırılarına karşı korumaktır. /etc/fail2ban/jail.local dosyanızda farklı hizmetler için 'kafes' adı verilen bölümler bulacaksınız.

SSH kafesini etkinleştirmek için genellikle [sshd] bölümü altında yalnızca enabled = true ayarını yapmanız gerekir. Ayrıca bantime, findtime ve maxretry değerlerini özelleştirebilirsiniz.

Düzenleme yaptıktan sonra değişikliklerin geçerli olması için Fail2Ban'ı yeniden başlatın:

Fail2Ban'ı yapılandırıp başlattıktan sonra durumunu kontrol etmek ve IP adreslerini etkin olarak yasaklayıp yasaklamadığını görmek isteyebilirsiniz. Bunun için fail2ban-client komutunu kullanabilirsiniz.

Fail2Ban'ın genel durumunu kontrol etmek için:

Harika iş çıkardınız! Sunucunuza nasıl etkin bir savunma katmanı ekleyeceğinizi öğrendiniz:

• IDS (Saldırı Tespit Sistemi), şüpheli etkinlikleri tespit eder ve uyarı verir.
• IPS (Saldırı Önleme Sistemi), tehditleri tespit eder, uyarır ve etkin olarak engeller.
• Fail2Ban, günlükleri kötü amaçlı kalıplar açısından tarayan ve güvenlik duvarı kurallarını güncelleyerek saldırıya neden olan IP adreslerini yasaklayan ana bilgisayar tabanlı bir IPS'dir.
• Fail2Ban'ı kurmayı, jail.local içindeki genel ayarları yapılandırmayı, belirli kafesleri (SSH gibi) etkinleştirmeyi ve durumunu izlemeyi öğrendiniz.

Fail2Ban'ı uygulamak, sunucunuzun kaba kuvvet saldırılarına ve diğer otomatik tehditlere karşı dayanıklılığını önemli ölçüde artırır. Gerçekten sağlam ve güvenli sistemler oluşturmak için bu becerileri uygulamaya devam edin!