diff options
Diffstat (limited to 'content/Informatique/fail2ban.rst')
| -rw-r--r-- | content/Informatique/fail2ban.rst | 192 |
1 files changed, 0 insertions, 192 deletions
diff --git a/content/Informatique/fail2ban.rst b/content/Informatique/fail2ban.rst deleted file mode 100644 index cee3534..0000000 --- a/content/Informatique/fail2ban.rst +++ /dev/null @@ -1,192 +0,0 @@ -.. -*- mode: rst -*- -.. -*- coding: utf-8 -*- - -Une gestion avancée de fail2ban -------------------------------- - -:date: 2008/09/15 -:tags: Libre, Hébergement, Administration - -Beaucoup d'articles sont déjà parus sur l'utilisation de fail2ban pour -protéger son ordinateur. Je vais parler ici d'une utilisation avancée de -fail2ban, couplé avec le pare-feu iptables dans le but de faire plein de -joli de choses avec ceux qui tentent d'accéder à nos Pcs ! - -Pour rappel, fail2ban permet de bloquer certaines IPs en fonction de ce -que les logs renvoient comme messages. Il est possible de déterminer les -ports sur lesquels les IPs seront bloquées et la durée du blocage. En ce -qui concerne les filtres qui déclencheront ou non le blocage, cela se -base sur des regex, et on peut déterminer le nombre de tentatives avant -qu'un blocage ne soit appliqué. - -Dans l'esprit du projet, fail2ban empêche les attaques par force brute, -mais nous allons voir qu'il est tout à fait possible de l'utiliser dans -d'autres fins. - -Créer de nouvelles règles de filtrage -~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ - -Dans un premier temps, nous allons mettre en place une nouvelle règle de -blocage pour, par exemple, bloquer les IPs en fonction des codes -d'erreurs d'apache. - -Mettre en place une nouvelle règle se fait de manière très simple, il -suffit de créer un fichier contenant la regex à appliquer, et de mettre -une référence vers ce fichier dans la configuration de fail2ban. - -Dans notre cas, pour bloquer les IPs ayant générés une erreur 403 ou une -erreur 401 dans apache, notre regex se présentera ainsi : - -:: - - failregex = :80 .* ".*" 403 = :80 .* ".*" 401 - -(Celle-ci est bien sûr à adapter en fonction de la manière dont vous -affichez vos logs de connexions.) - -Dans le fichier de configuration de fail2ban (/etc/fail2ban/jail.conf), -nous allons demander la lecture de ce fichier en indiquant quelques -paramètres supplémentaires : - -:: - - [apache-block] - enabled = true #Oui on active - port = http #On ne bloque que le port 80 - filter = apache-block # le nom du fichier que l'on a créé juste avant - action = %(action_)s - logpath = /tmp/log/apache/access.log - maxretry = 1 #Nombre de tentatives - banaction = iptables-redirect # L'action à appliquer sur l'IP - bantime = 3600 # Le temps pendant lequel l'ip sera bannie. - - -Créer de nouvelles actions -~~~~~~~~~~~~~~~~~~~~~~~~~~ - -Une fois que fail2ban aura lancé une procédure de blocage sur une -connexion, il va lancer un script contenant les actions à réaliser sur -cette IP. D'habitude ce script contient une règle iptables qui bloque -l'adresse, et une autre règle qui supprime ce blocage. - -Nous allons maintenant jouer avec iptables pour réaliser quelques -effets intéressant avec nos IPs à bannir : - -Relancer la durée du blocage -++++++++++++++++++++++++++++ - -Par défaut, fail2ban retire le blocage sur l'IP une fois que la durée -spécifiée est écoulée. Je trouve ceci limité car cela n'empêche pas -l'attaquant de continuer ses attaques et se retrouver prêt à refaire une -attaque dès que cette durée est écoulée. De plus, cela peut donner une -information sur la durée pendant laquelle nous filtrons son adresse. - -Iptables propose un module, modrecent, permettant de bloquer une IP -pendant une durée déterminée, et de réinitialiser cette durée si jamais -une nouvelle connexion venait à être réalisée durant cette période. - -Pour ceci nous allons devoir une règle iptables, en dehors de fail2ban, -qui consistera à bloquer une IP pendant telle période : - -Dans fail2ban, nous allons créer un nouveau fichier action, qui se -présentera comme suit : - -.. code-block:: bash - - #On crée une nouvelle table - actionstart = iptables -N fail2ban-<name> - iptables -A fail2ban-<name> -j DROP - #On insère une nouvelle règle qui met à jour le compteur à chaques nouvelles tentatives tant que le délai n'est pas écoulé - iptables -I INPUT -p <protocol> -m multiport --dports <port> -m recent --update --seconds 360000 --name fail2ban-- -j fail2ban-<name> - - actionstop = iptables -D INPUT -p <protocol> -m multiport --dports <port> -m recent --update --seconds 360000 --name fail2ban-- -j fail2ban-<name> - iptables -F fail2ban-<name> - iptables -X fail2ban-<name> - - # Pour bannir une IP, il suffit de l'écrire dans le fichier de configuration de mod-recent - actionban = echo +<ip> > /proc/net/xt_recent/fail2ban-<name> - - # On ne retire pas de l'unban, cela se fera tout seul une fois que l'attaquant aura terminé de se connecter - actionunban = - -Il nous suffit de l'enregister dans le fichier `/etc/fail2ban/action.d/iptables-recent.conf` - -Si l'on veut bloquer une ip manuellement, il suffit d'éxécuter la dernière -ligne, à savoir - -.. code-block:: console - - # echo +${IP} > /proc/net/xt_recent/fail2ban-<name> - -Mettre un message d'alerte -++++++++++++++++++++++++++ - -On peut décider d'annoncer à notre utilisateur bloqué que nous avons -banni son IP. Cela peut être utile si nous avons mis en place des règles -de filtrage très strictes et qu'un utilisateur peut se retrouver bloqué -sans avoir tenté la moindre intrusion (mieux vaut être trop prudent que -pas assez) - -Pour cela, nous allons avoir besoin d'un service qui consistera à -afficher le texte sur demande. Hors de question de demander ça à apache -ou autre serveur web, nous allons mettre en place notre propre serveur -web, qui présentera une page statique, toujours identique. - -Socat et tout désigné pour cela. Dans notre exemple nous allons le -faire tourner en tant que serveur, sur un port ouvert, et avec des -droits limités. Notre règle iptables consistera juste à rediriger les -connexions entrantes sur le port 80 vers le port où l'on fait tourner -socat. - -.. code-block:: bash - - sudo -u nobody socat tcp4-listen:6666,reuseaddr,fork exec:"cat /etc/apache2/banned.html" & - -et la règle iptables à mettre en place : - -.. code-block:: bash - - #On crée la règle sur la table de préroutage : - actionstart = iptables -t nat -N fail2ban-<name> - iptables -t nat -A fail2ban-<name> -j RETURN - iptables -t nat -I PREROUTING -p <protocol> -m multiport --dports <port>-j fail2ban-<name> - - iptables -N fail2ban-<name> - iptables -A fail2ban-<name> -j RETURN - iptables -I INPUT -p <protocol> -m multiport --dports <port> -j fail2ban-<name> - -et pour lancer l'action, là encore, on simule une perte de paquet pour -ralentir le temps d'affichage de la page - -.. code-block:: bash - - actionban = iptables -t nat -I fail2ban-<name> 1 -s -p tcp -m multiport --dports <port> -m statistic --mode nth --every 3 -j REDIRECT --to-port 6666 - iptables -I fail2ban-<name> 1 -s -j DROP - -Les règles d'unban et de stop se font en symetrique de ban et start, en -supprimant des règles crées. - - -Utiliser les nouvelles règles -~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ - -Cela se fait simplement en utilisant les nouveaux noms de fichier à la place -des anciens. Dans le fichier `/etc/fail2ban/jail.conf`, il suffit d'utiliser la -directive : - -.. code-block:: bash - - banaction = iptables-recent - -pour utiliser les nouvelles directives à la action de filtrage. - -Voilà, cela permet de mettre en place une sécurité personnalisée et -adaptée, qui sort déjà des outils et configuration standards (ce qui -est toujours une bonne chose en matière de sécurité). Les exemples que -j'ai donnés ne sont que des suggestions, et il est possible de faire beaucoup -d'autres choses avec un peu d'imaginations. Je vous renvoie au manuel -d'iptables qui présente la liste de tous les modules existants, et de -regarder un peu les paramètres disponibles parmi les fichiers de -configuration de fail2ban. Mon seul regret est qu'à ce jour, ce -programme ne gère pas encore les Ip en v6, mais ça n'est - pour -l'instant - pas encore critique.. |