Fail2Ban - Historique des versions

Admin le 1 avril 2020 à 07:56

2020-04-01T07:56:00Z

Admin : /* Installation */

2020-03-29T09:49:39Z

Installation

Admin le 29 mars 2020 à 09:48

2020-03-29T09:48:47Z

Admin : Created page with "fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des..."

2020-03-29T09:45:30Z

Created page with "fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des..."

Nouvelle page

fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des IPs.

*les fichiers de configurations se trouvent généralement dans <code>/etc/fail2ban</code>
*le fichier de configuration de l'utilitaire est <code>fail2ban.conf</code>
*le fichier de configuration générale des jails est <code>jail.conf</code>
*les fichiers de configurations pour chaque filtres se trouvent dans le dossier <code>/etc/fail2ban/filter.d/</code>
*les fichiers de configurations pour chaque actions se trouvent dans le dossier <code>/etc/fail2ban/action.d/</code>

== Créer des filtres ==

*Créer un fichier filtre dans <code>/etc/fail2ban/filter.d/</code>
*Exemple de filtre : <code>[Definition] failregex = <HOST> - - \[.*?\] .*"POST (\/en\/cart|\/fr\/panier)</code>

Ce filtre permettra à une règle de s'activer lorsqu'un motif de ce type se trouve dans le fichier de log cible :

<code>79.182.76.109 - - [01/Sep/2017:17:05:42 +0200] "POST /en/cart HTTP/1.1" 403 189 "http://store.calexium.com/" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21"</code>

L'utilisation de <HOST> dans la REGEX d'exemple permet de récupérer l'IP/host, c'est cette "variable" qui permettra à l'action lié à la règle d'effectuer un traitement pour cette adresse.

== Appliquer des règles fail2ban ==

* éditer le fichier <code>/etc/fail2ban/jail.conf</code>
* ajouter une règle dans le fichier :

<code>
[nginx-ps16-bots] # nom de la règle
enabled = true # active ou non
filter = nginx-prestashop-bots # nom du filtre (nom donnée au fichier lors de l'étape précédente)
port = http,https # les ports concernés
logpath = /var/log/nginx/store_calexium_ssl_proxy.access_log # le fichier de log à analyser, accepte le wildcard (*)
findtime = 60 # le temps imparti, en relation avec le maxretry (en secondes)
bantime = 86400 # le temps de bannissement (en secondes)
maxretry = 30 # le nombre d'essais dans la limite "findtime" avant que la règle ne s'applique (en secondes)
action = route # l'action à effectuer, route permet de router l'hôte vers rien du tout, très rapide et compatible partout comme méthode, une liste d'action par défaut peut être trouvés dans le dossier /etc/fail2ban/action.d/
</code>

* <code>service fail2ban restart</code>

== Les REGEX Perl ==

Le site https://regex101.com/ peut être utile pour la création des filtres et pour débugger les regex, ce site permet entre autre de prévisualiser en temps réel l'action d'une REGEX sur des données.

← Version précédente		Version du 1 avril 2020 à 07:56
Ligne 1 :		Ligne 1 :
		+	[[Debian\|Retour]]
		+
	fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des IPs.		fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des IPs.

@@ Ligne 12 : / Ligne 12 : @@
 (Nouveau 2017) si cela ne retourne rien , faire :
-  sudo iptables -S | grep f2b
+  iptables -S | grep f2b
 qui retourne bien :
   -A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd -A f2b-sshd -j RETURN
 == Emplacement des fichiers ==

@@ Ligne 1 : / Ligne 1 : @@
 fail2ban permet d'analyser les logs en temps réel, d'y trouver des motifs selon des règles REGEX (perl) et d'effectuer des actions comme des appels iptables pour bannir des IPs.
 *les fichiers de configurations se trouvent généralement dans <code>/etc/fail2ban</code>
 *le fichier de configuration de l'utilitaire est <code>fail2ban.conf</code>