Questo genere di attacco si basa su continui tentativi di accesso, provando o lo username root<\/a> con password probabili (come password<\/em>, root<\/em>, toor<\/em> e cos\u00ec via) oppure tramite coppie di username\/password conosciute (create, ad esempio, da malware<\/a> o da rootkit<\/a>).<\/p>\n\n\n\n Con le ultime versioni, per\u00f2, si \u00e8 ampliato ed \u00e8 in grado di coprire svariati servizi (che andranno, per\u00f2, configurati manualmente), come ad esempio apache, vsftpd, ngix, postfix, etc. Fail2ban funziona modificando dinamicamente le regole del firewall per vietare gli indirizzi che hanno tentato invano di accedere in un certo numero di volte. Come impostazione di base fail2ban configura iptables<\/em> ma vedremo pu\u00f2 essere facilmente impostato per lavorare con UFW.<\/p>\n\n\n\n Con fail2ban possiamo rendere il nostro server ancora pi\u00f9 sicuro, potr\u00e0 infatti riconoscere e bannare automaticamente gli IP troppo invadenti. Fail2ban \u00e8 un software sviluppato in Python che esegue la scansione dei file di log (ad esempio \/var\/ log\/nginx\/access.log) e banna gli IP che mostrano comportamenti pericolosi o dannosi: troppi tentativi falliti di login, ricerca di exploit, ecc. <\/p>\n\n\n\n I tentativi di accessi brute force sono piuttosto frequenti contro un server SSH e altri servizi Internet protetti da password (come ftp, pop, \u2026). Gli script automatici provano pi\u00f9 combinazioni di nome utente\/password (attacco brute force) e a volte la modifica della porta rispetto a quella predefinita non pu\u00f2 essere eseguita.<\/p>\n\n\n\n \u00c8 importante mantenere sicura la propria macchina installando continuamente tutti gli aggiornamenti che vengono proposti dal produttore e bloccare tutte le richieste che potrebbero rallentarla o addirittura danneggiarla.<\/p>\n\n\n\n Fail2ban <\/strong>tenta di alleviare questi problemi fornendo un modo automatico di identificare non solo i possibili tentativi di intrusione, ma di agire su di essi in modo rapido e semplice in modo definibile dall\u2019utente.<\/p>\n\n\n\n I log, i file di registro contengono informazioni interessanti, in particolare sugli accessi non riusciti. Questa informazione pu\u00f2 essere utilizzata in tempo reale per bloccare un client indesiderato ed \u00e8 esattamente quello che fa Fail2ban. Il software esegue la scansione dei file di registro e rileva i modelli che corrispondono a possibili tentativi di intrusione o attacco, quindi esegue azioni di risposta. La maggior parte delle volte l\u2019azione consiste nell\u2019aggiungere una nuova regola nel firewall e inviare una notifica via e-mail all\u2019amministratore di sistema.<\/p>\n\n\n\n Di seguito un elenco delle funzionalit\u00e0 pi\u00f9 importanti disponibili in Fail2ban:<\/p>\n\n\n\n <\/p>\n\n\n\n L\u2019idea alla base di fail2ban \u00e8 monitorare i registri dei servizi comuni per individuare gli schemi nei fallimenti di autenticazione.<\/p>\n\n\n\n Quando fail2ban \u00e8 configurato per monitorare i log di un servizio, esamina un filtro che \u00e8 stato configurato specifico per quel servizio. Il filtro \u00e8 progettato per identificare i fallimenti di autenticazione attraverso l\u2019uso di espressioni regolari complesse. Fail2ban definisce questi modelli di espressioni regolari in una variabile chiamata failregex<\/strong>. che trovi archiviati nella cartella \/etc\/fail2ban\/filter.d\/.<\/p>\n\n\n\n Fortunatamente, fail2ban include diversi filtri precompilati per i servizi e web server pi\u00f9 comuni. Quando una riga nel file di registro del servizio corrisponde a failregex nel suo filtro, l\u2019azione definita viene eseguita per quel servizio. L\u2019azione \u00e8 una variabile che pu\u00f2 essere configurata per fare molte cose diverse, a seconda delle preferenze dell\u2019amministratore.<\/p>\n\n\n\n L\u2019azione predefinita consiste nel bannare l\u2019host\/l\u2019indirizzo IP offensivo modificando le regole del firewall iptables oppure, se presente, con UFW. \u00c8 possibile espandere questa azione per inviare anche una e-mail all\u2019amministratore con il rapporto whois dell\u2019aggressore o le linee di log che hanno attivato l\u2019azione.<\/p>\n\n\n\n Per impostazione predefinita, verr\u00e0 intrapresa un\u2019azione quando tre errori di autenticazione sono stati rilevati in 10 minuti e il tempo di ban predefinito \u00e8 di 10 minuti. L\u2019impostazione predefinita per il numero di errori di autenticazione necessari per attivare un ban \u00e8 sovrascritta nella parte SSH del file di configurazione predefinito per consentire 6 errori prima che il blocco abbia luogo. Questo \u00e8 interamente configurabile dall\u2019amministratore.<\/p>\n\n\n\n Quando si utilizza la destinazione iptables predefinita per il traffico SSH, fail2ban crea una nuova catena all\u2019avvio del servizio. Aggiunge una nuova regola alla catena INPUT che invia tutto il traffico TCP diretto alla porta 22 alla nuova catena. Nella nuova catena, inserisce una singola regola che ritorna alla catena INPUT.<\/p>\n\n\n\n Questo fa solo saltare il traffico verso la nuova catena per poi tornare indietro, non ha alcun effetto sul traffico all\u2019inizio. Tuttavia, quando un IP raggiunge la soglia per i fallimenti di autenticazione, viene aggiunta una regola in cima alla nuova catena per eliminare il traffico da quell\u2019IP. Quando il periodo di divieto \u00e8 scaduto, la regola di iptables viene rimossa. La catena e le regole associate vengono rimosse quando termina il servizio fail2ban.<\/a><\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Aggiornare l\u2019indice del pacchetto locale e installare fail2ban digitando i comandi: <\/p>\n\n\n\n Questo installer\u00e0 il software. Per impostazione predefinita, fail2ban \u00e8 configurato per bloccare solo i tentativi di accesso SSH non riusciti. Dobbiamo abilitare alcune regole che lo configureranno per controllare i nostri log di Nginx per i pattern che indicano attivit\u00e0 dannose.<\/p>\n\n\n\n A questo punto va riavviato il servizio:<\/p>\n\n\n\n E contestualmente va controllato lo stato del servizio riavviato:<\/p>\n\n\n\n Fail2ban \u00e8 configurato attraverso una variet\u00e0 di file situati all\u2019interno di una gerarchia sotto la directory \/etc\/fail2ban\/.<\/p>\n\n\n\n Il file fail2ban.conf<\/strong> configura alcune impostazioni operative di base come il modo in cui il daemon registra le informazioni e il socket e il file pid che utilizzer\u00e0. La configurazione principale ha luogo nei file che definiscono le \u201cjail\u201d.<\/p>\n\n\n\n Per impostazione predefinita, fail2ban viene fornito con un file jail.conf. Tuttavia, questo file pu\u00f2 essere sovrascritto negli aggiornamenti futuri, quindi ti consiglio di copiare questo file in un nuovo file jail.local<\/strong> e apportare modifiche l\u00ec.<\/p>\n\n\n\n Crea un file jail.local:<\/p>\n\n\n\n Oppure copia quello di default:<\/p>\n\n\n\n Ora va editato il nuovo file:<\/p>\n\n\n\n Dovremmo iniziare valutando i valori predefiniti impostati all\u2019interno del file per vedere se soddisfano i nostri bisogni. Questi si troveranno nella sezione [DEFAULT] all\u2019interno del file. Questi elementi impostano la politica generale e possono essere sovrascritti in specifiche jail.<\/p>\n\n\n\n Uno dei primi elementi da esaminare \u00e8 l\u2019elenco di client che non sono soggetti alle politiche fail2ban. Questo \u00e8 impostato dalla direttiva ignoreip<\/strong>. A volte \u00e8 una buona idea aggiungere il proprio indirizzo IP o la propria rete all\u2019elenco delle eccezioni per evitare di bloccarsi. \u00c8 possibile aggiungere ulteriori indirizzi IP o reti delimitate da uno spazio all\u2019elenco esistente.<\/p>\n\n\n\n [sshd] Un altro elemento che potresti voler aggiustare \u00e8 il bantime<\/strong>, che controlla quanti secondi per cui un IP \u00e8 bannato. \u00c8 ideale impostarlo su un tempo sufficientemente lungo per disturbare il malintenzionato, ma anche abbastanza breve da consentire agli utenti legittimi di correggere gli errori. Per impostazione predefinita, questo \u00e8 impostato su 600 secondi (10 minuti). Aumenta o diminuisci questo valore come meglio credi. Impostare il bantime a -1 comporter\u00e0 un divieto permanente di tale indirizzo IP. Considera attentamente questa opzione!<\/p>\n\n\n\n I due elementi successivi determinano l\u2019ambito delle righe di registro utilizzate per determinare un client incriminato. Il findtime <\/strong>specifica una quantit\u00e0 di tempo in secondi e la direttiva maxretry <\/strong>indica il numero di tentativi da tollerare entro quel tempo. Se un cliente effettua pi\u00f9 di un tentativo di maxretry entro il tempo impostato dal findtime, verr\u00e0 bannato.<\/p>\n\n\n\n Riavvia fail2ban per rendere affettive le modifiche:<\/p>\n\n\n\n Ogni volta che riavvii fail2ban, il software rilegge il file di configurazione. Nel caso dovessero esserci errori di configurazione, la shell mostra un avvertimento. Correggi il problema e prova di nuovo a riavviare. Se Fail2ban non si avvia correttamente dopo aver creato il file di configurazione, \u00e8 possibile che sia un errore di battitura nel file di configurazione \/etc\/fail2ban\/jail.local. Controlla i contenuti del file e riprova!<\/p>\n\n\n\n Verifica lo stato di fail2ban:<\/p>\n\n\n\n Verifica la \u201ccella\u201d delle connessioni SSH:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Per evitare di essere bannati \u00e8 opportuno inserire il proprio IP in white list in modo che venga ignorato dal servizio fail2ban. Per aggiunge un IP in white list devi editare uno dei due file a scelta:<\/p>\n\n\n\n Non serve editarli entrambi, io ad esempio ho modificato solo il file jail.local. Se decidi di editare il file jail.conf aprilo e cerca la riga che inizia cos\u00ec:<\/p>\n\n\n\n Ora aggiungi l\u2019IP che vuoi ignorare:<\/p>\n\n\n\n Invece per riavviare semplicemente il servizio senza arrestarlo, ad esempio per abilitare la nuova configurazione, digita il seguente comando:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Ora che disponiamo di alcune delle impostazioni generali di fail2ban, possiamo concentrarci sull\u2019attivazione di alcune jail specifiche di Nginx che monitoreranno i registri del web server per specifici modelli di comportamento.<\/p>\n\n\n\n Ogni prigione <\/em>all\u2019interno del file di configurazione \u00e8 contrassegnata da un\u2019intestazione contenente il nome della prigione in parentesi quadre. Per impostazione predefinita, solo la [ssh] jail \u00e8 abilitata.<\/p>\n\n\n\n Abilitiamo altre jail custom modificando il file jail.local.<\/p>\n\n\n\n [nginx-http-auth]<\/strong><\/p>\n\n\n\n Per abilitare il monitoraggio dei log per i tentativi di accesso a Nginx, abiliteremo la jail [nginx-http-auth]. Modifica nel file \/etc\/fail2ban\/jail.local la direttiva abilitata all\u2019interno di questa sezione in modo che il parametro enabled<\/em> sia \u201ctrue\u201d:<\/p>\n\n\n\n Questa potrebbe essere l\u2019unica jail specifica per Nginx inclusa nel pacchetto fail2ban di Ubuntu, dipende da quale versione hai installato. Tuttavia, possiamo creare le nostre jail custom per aggiungere funzionalit\u00e0 aggiuntive. Puoi trovare ispirazione partendo da qui<\/a> e qui<\/a>.<\/p>\n\n\n\n [nginx-noscript]<\/strong><\/p>\n\n\n\n Possiamo creare un jail [nginx-noscript] per escludere i client che stanno cercando script eseguibili sul sito web di cui sfruttare vulnerabilit\u00e0. Attenzione perch\u00e8 questa jail individua richieste HTTP a file con estensioni php, asp, exe|, pl, cgi e scgi<\/strong> quindi non attivarla se le pagine del tuo sito web usano queste estensioni.<\/p>\n\n\n\n Puoi aggiungere nel file \/etc\/fail2ban\/jail.local questa jail per vietare a chi richiede questi tipi di risorse:<\/p>\n\n\n\n [wordpress]<\/strong><\/p>\n\n\n\n Nel mio server ho aggiunto una regola per proteggere la pagina di login di WordPress, il filtro banna IP che falliscono tre volte l\u2019autenticazione. Aggiungi questa sezione al tuo file jail.local:<\/p>\n\n\n\n [nginx-badbots]<\/strong><\/p>\n\n\n\n Possiamo aggiungere una sezione chiamata [nginx-badbots] per fermare alcuni modelli di richieste di bot malevoli noti:<\/p>\n\n\n\n [nginx-noproxy]<\/strong><\/p>\n\n\n\n Perch\u00e9 non bannare i client che tentano di utilizzare il nostro server Nginx come open proxy? Aggiungiamo una jail [nginx-noproxy] per soddisfare queste richieste:<\/p>\n\n\n\n Quando hai finito di apportare le modifiche necessarie al file jail.local, salva e chiudi il file.<\/p>\n\n\n\n Ora dobbiamo aggiungere i filtri custom per le jail<\/strong> che abbiamo creato. Spostiamoci nella cartella filter.d e creiamo i file necessari:<\/p>\n\n\n\n In questa cartella troviamo tutti i filtri precompilati, qui dovremo aggiungere quelli che invece vogliamo creare noi e che abbiamo richiamato nel file jail.local. Partiamo dal primo.<\/p>\n\n\n\n [nginx-noscript]<\/strong><\/p>\n\n\n\n Creiamo il primo filtro custom [nginx-noscript]:<\/p>\n\n\n\n Incolla la seguente definizione all\u2019interno del nuovo file \/etc\/fail2ban\/filter.d\/nginx-noscript.conf. Sentiti libero di modificare o aggiungere i suffissi dello script:<\/p>\n\n\n\n [wordpress]<\/strong><\/p>\n\n\n\n Adesso creiamo il filtro custom per WordPress:<\/p>\n\n\n\n Inserisci questo filtro che bloccher\u00e0 tutti gli IP che tentano successivamente di accedere alla pagina di login:<\/p>\n\n\n\n [nginx-badbots]<\/strong><\/p>\n\n\n\n Ora, se non \u00e8 presente, dobbiamo creare il filtro [nginx-badbots]. In alcune versioni di fail2ban \u00e8 gi\u00e0 presente, altrimenti basta copiare il filtro di Apache \u2013 apache-badbots.conf<\/strong>:<\/p>\n\n\n\n [nginx-noproxy]<\/strong><\/p>\n\n\n\n L\u2019ultimo filtro da creare \u00e8 [nginx-noproxy]:<\/p>\n\n\n\n Questa definizione di filtro corrisponder\u00e0 ai tentativi di utilizzare il server come proxy:<\/p>\n\n\n\n Salva tutti i file quando hai finito e riavvia fail2ban:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Se nel tuo server hai attivato il firewall UFW e vuoi integrare fail2ban, nella sezione DEFAULT del file jail.local aggiungi questa azione:<\/p>\n\n\n\n La versione pi\u00f9 recente di fail2ban contiene gi\u00e0 un\u2019azione pre-configurata per UFW, puoi controllare dentro la cartella \/etc\/fail2ban\/action.d e cercare il file ufw.conf<\/strong>. Nel caso non ci fosse, crealo ed incolla questo codice:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Puoi vedere tutte le tue jail abilitate usando il comando fail2ban-client:<\/p>\n\n\n\n \u00c8 possibile controllare iptables per vedere quali regole sono state modificate da fail2ban. Anche senza regole firewall precedenti, ora avresti un framework abilitato che consente a fail2ban di escludere selettivamente i client aggiungendoli a catene appositamente create:<\/p>\n\n\n\n Se vuoi vedere i dettagli dei divieti che vengono applicati da qualsiasi jail, \u00e8 probabilmente pi\u00f9 facile usare di nuovo il client fail2ban:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n \u00c8 importante testare le policy di fail2ban per assicurarsi che blocchino il traffico come previsto. Ad esempio, per la richiesta di autenticazione Nginx, \u00e8 possibile fornire credenziali errate un numero di volte. Dopo aver superato il limite, dovresti essere bannato e non riuscire ad accedere al sito. Se imposti le notifiche email, dovresti visualizzare i messaggi relativi al divieto nell\u2019account email che hai fornito.<\/p>\n\n\n\n Se guardi lo stato con il comando fail2ban-client, dovresti vedere il tuo indirizzo IP bannato dal sito (se non hai messo il tuo IP in whitelist):<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Se sei un NERD come me sono sicuro che ti piace monitorare tutto con la shell SSH. Fail2ban pu\u00f2 essere facilmente monitorato in tempo reale con il comando tail<\/em>:<\/p>\n\n\n\n Se non vedi nulla che significa che la configurazione \u00e8 errata oppure non c\u2019\u00e8 niente di cui preoccuparti.<\/a><\/p>\n\n\n\n Nel caso tu avessi bisogno di disattivare e riattivare fail2ban ti baster\u00e0 digitare i seguenti comandi<\/p>\n\n\n\n Per riavviare fail2ban puoi scegliere se riavviare il processo oppure ricaricare le opzioni:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Capita, anche a me \u00e8 successo svariate volte prima di mettere il mio IP in white list \ud83d\ude42 Se a casa hai un IP fisso cerca di cambiarlo temporaneamente (con una VPN ad esempio) e accedi via SSH al server. Digita il seguente comando per eliminare il tuo IP dalla lista di ban (cambia l\u2019IP dell\u2019esempio con il tuo):<\/p>\n\n\n\n Come vedi, nel comando devi specificare in quale jail si trova l\u2019IP, quindi, se non sai in quale jail sei finito, dovrai passarle tutte in rassegna e verificare con il comando:<\/p>\n\n\n\n <\/a><\/p>\n\n\n\n Per riferimento lascio una copia del mio file jail.local, magari servir\u00e0 a qualcuno, magari servir\u00e0 a me \ud83d\ude42<\/p>\n\n\n\n <\/p>\n\n\n\n L\u2019impostazione di default di fail2ban per proteggere il server Nginx \u00e8 abbastanza semplice. Tuttavia, questo software offre una grande flessibilit\u00e0 per la costruzione di politiche che si adattino alle varie esigenze di sicurezza specifiche. Dando un\u2019occhiata alle variabili e ai pattern all\u2019interno del file \/etc\/fail2ban\/jail.local, e ai file dei filtri nella directory \/etc\/fail2ban\/filter.d e \/etc\/fail2ban\/action.d, \u00e8 possibile trovare molti pezzi da modificare<\/em> man mano che le tue esigenze evolvono. Imparare le nozioni di base su come proteggere il server con fail2ban pu\u00f2 fornire una buona sicurezza di base con il minimo sforzo.<\/p>\n\n\n\n Guide Debianizzati.org<\/a> Definizione di Fail2ban e Utilizzo Fail2ban (Sito ufficiale) \u00e8 un software che \u00e8 nato per permettere di bloccare gli host che stanno tentando di effettuare un attacco di brute force via SSH. Questo genere […]<\/p>\n","protected":false},"author":6,"featured_media":3378,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_links_to":"","_links_to_target":""},"categories":[5,86,93,96],"tags":[102,101,99,100],"class_list":["post-3289","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-gcportal-links","category-guide-tutorial","category-linux","category-network","tag-auth-log","tag-brute-force","tag-fail2ban","tag-ssh"],"_links":{"self":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3289","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/comments?post=3289"}],"version-history":[{"count":23,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3289\/revisions"}],"predecessor-version":[{"id":3335,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3289\/revisions\/3335"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/media\/3378"}],"wp:attachment":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/media?parent=3289"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/categories?post=3289"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/tags?post=3289"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Fail2Ban \u00e8 in grado di ridurre il tasso di tentativi di autenticazione errati, tuttavia non pu\u00f2 eliminare il rischio che presenta un’autenticazione debole. Configurare i servizi in modo che utilizzino solo meccanismi di autenticazione a due fattori o pubblici\/privati ??se si desidera davvero proteggere i servizi.<\/p>\n\n\n\nCosa fare per mitigare i tentativi di intrusione<\/h2>\n\n\n\n
\n
Funzionamento di fail2ban<\/h2>\n\n\n\n
Requisiti<\/h2>\n\n\n\n
\n
Installazione di fail2ban<\/h2>\n\n\n\n
$ sudo apt-get update\n$ sudo apt-get upgrade\n$ sudo apt-get install fail2ban -y<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo service fail2ban restart<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo service fail2ban status<\/mark><\/strong>\n<\/code><\/pre>\n\n\n\n![\"\"](\"https:\/\/www.gcportal.com\/wordpress\/wp-content\/uploads\/2023\/03\/2023-03-10_151717.png\")
<\/figure>\n\n\n\n
Configurazione di fail2ban<\/h2>\n\n\n\n$ touch \/etc\/fail2ban\/jail.local<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo cp \/etc\/fail2ban\/jail.conf \/etc\/fail2ban\/jail.local<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo nano \/etc\/fail2ban\/jail.local<\/mark><\/strong><\/code><\/pre>\n\n\n\n[DEFAULT]\nignoreip = 127.0.0.1\/8 192.168.188.25 10.12.10.10\/30\nbantime = 3600\nfindtime = 600\nmaxretry = 5\n<\/code><\/pre>\n\n\n\n
enabled = true<\/p>\n\n\n\n$ service fail2ban restart<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ service fail2ban status<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ fail2ban-client status sshd<\/mark><\/strong><\/code><\/pre>\n\n\n\nAggiungere un IP in white list<\/em><\/h2>\n\n\n\n
# opzione 1\n\/etc\/fail2ban\/jail.conf\n\n# opzione 2\n\/etc\/fail2ban\/jail.local<\/code><\/pre>\n\n\n\nignoreip =<\/code><\/pre>\n\n\n\nignoreip = 192.168.188.25 192.168.120.0\/32<\/code><\/pre>\n\n\n\n$ service fail2ban restart<\/mark><\/strong><\/code><\/pre>\n\n\n\nConfigurazione di Fail2Ban per monitorare i registri Nginx<\/h2>\n\n\n\n
[nginx-http-auth]\nenabled = true\nfilter = nginx-http-auth\nport = http,https\nlogpath = \/var\/log\/nginx\/error.log\n. . .<\/code><\/pre>\n\n\n\n[nginx-noscript]\nenabled = true\nport = http,https\nfilter = nginx-noscript\nlogpath = \/var\/log\/nginx\/access.log\nmaxretry = 6\n. . .<\/code><\/pre>\n\n\n\n[wordpress]\nenabled = true\nport = http,https\nfilter = wordpress\naction = iptables-multiport[name=wordpress, port=\"http,https\", protocol=tcp]\nlogpath = \/var\/log\/nginx\/access.log\nmaxretry = 3<\/code><\/pre>\n\n\n\n[nginx-badbots]\nenabled = true\nport = http,https\nfilter = nginx-badbots\nlogpath = \/var\/log\/nginx\/access.log\nmaxretry = 2<\/code><\/pre>\n\n\n\n[nginx-noproxy]\nenabled = true\nport = http,https\nfilter = nginx-noproxy\nlogpath = \/var\/log\/nginx\/access.log\nmaxretry = 2<\/code><\/pre>\n\n\n\n$ cd \/etc\/fail2ban\/filter.d<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo nano nginx-noscript.conf<\/mark><\/strong><\/code><\/pre>\n\n\n\n[Definition]\nfailregex = ^<HOST> -.*GET.*(\\.php|\\.asp|\\.exe|\\.pl|\\.cgi|\\.scgi)\nignoreregex =<\/code><\/pre>\n\n\n\n$ sudo nano wordpress.conf<\/mark><\/strong><\/code><\/pre>\n\n\n\n[Definition]\nfailregex = ^<HOST> .* \"POST .*wp-login.php\n ^<HOST> .* \"POST .*xmlrpc.php\nignoreregex =<\/code><\/pre>\n\n\n\n$ sudo cp apache-badbots.conf nginx-badbots.conf<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo nano nginx-noproxy.conf<\/mark><\/strong><\/code><\/pre>\n\n\n\n[Definition]\nfailregex = ^<HOST> -.*GET http.*\nignoreregex =<\/code><\/pre>\n\n\n\n$ sudo service fail2ban restart<\/mark><\/strong><\/code><\/pre>\n\n\n\nIntegrazione con UFW<\/h2>\n\n\n\n
banaction = ufw<\/code><\/pre>\n\n\n\n[Definition]\nactionstart = \nactionstop = \nactioncheck = \nactionban = [ -n \"<application>\" ] && app=\"app <application>\"\n ufw insert <insertpos> <blocktype> from <ip> to <destination> $app\n\nactionunban = [ -n \"<application>\" ] && app=\"app <application>\"\n ufw delete <blocktype> from <ip> to <destination> $app\n[Init]\ninsertpos = 1\nblocktype = reject\ndestination = any\napplication = <\/code><\/pre>\n\n\n\nOttenere informazioni sulle jail abilitate<\/h2>\n\n\n\n
$ sudo fail2ban-client status<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo iptables -S<\/mark><\/strong><\/code><\/pre>\n\n\n\n$ sudo fail2ban-client status nginx-http-auth<\/mark><\/strong><\/code><\/pre>\n\n\n\nTest delle politiche Fail2Ban<\/h2>\n\n\n\n
$ sudo fail2ban-client status nginx-http-auth<\/mark><\/strong>\n\n# Output\nStatus for the jail: nginx-http-auth\n|- filter\n| |- File list: \/var\/log\/nginx\/error.log \n| |- Currently failed: 0\n| `- Total failed: 12\n`- action\n |- Currently banned: 1\n | `- IP list: 111.111.111.111\n `- Total banned: 1<\/code><\/pre>\n\n\n\nMonitorare fail2ban in tempo reale<\/h2>\n\n\n\n
$ tail -f \/var\/log\/fail2ban.log<\/mark><\/strong><\/code><\/pre>\n\n\n\n![\"\"](\"https:\/\/www.gcportal.com\/wordpress\/wp-content\/uploads\/2023\/03\/2023-03-10_152330.png\")
<\/figure>\n\n\n\nArrestare e riavviare fail2ban<\/h2>\n\n\n\n
# arrestare il servizio fail2ban\n$ sudo service fail2ban stop<\/mark><\/strong>\n\n# avviare il servizio fail2ban\n$ sudo service fail2ban start<\/mark><\/strong><\/code><\/pre>\n\n\n\n# riavviare il servizio fail2ban\n$ sudo systemctl restart fail2ban<\/mark><\/strong>\n\n# ricaricare le opzioni\n$ sudo fail2ban-client reload<\/mark><\/strong><\/code><\/pre>\n\n\n\nOMG mi sono bannato!<\/h2>\n\n\n\n
$ sudo fail2ban-client set nginx-noscript unba<\/mark><\/strong>nip <\/mark>192.168.188.123<\/mark><\/strong><\/code><\/pre>\n\n\n\n#verificare lo stato di specifiche jail\n$ sudo fail2ban-client status sshd\n$ sudo fail2ban-client status nginx-botsearch\n$ sudo fail2ban-client status nginx-noscript\n$ sudo fail2ban-client status nginx-http-auth\n$ sudo fail2ban-client status wordpress<\/mark><\/strong><\/code><\/pre>\n\n\n\nEsempio di file jail.local<\/h2>\n\n\n\n
[DEFAULT] \nignoreip = 127.0.0.1\/8 192.168.188.2\/120\nbantime = 3600\nfindtime = 600\nmaxretry = 2\nbanaction = ufw\n\n[sshd]\nenabled = true\n\n[nginx-botsearch]\nenabled = true\nport = http,https\nfilter = nginx-botsearch\nlogpath = \/var\/log\/nginx\/access.log\nfindtime = 120\n\n[nginx-noscript]\nenabled = true\nport = http,https\nfilter = nginx-noscript\nlogpath = \/var\/log\/nginx\/access.log\nfindtime = 120\nignoreip = 127.0.0.1\/8 1.2.3.4 5.6.7.8\n\n[wordpress]\nenabled = true\nport = http,https\nfilter = wordpress\naction = iptables-multiport[name=wordpress, port=\"http,https\", protocol=tcp]\nlogpath = \/var\/log\/nginx\/access.log<\/code><\/pre>\n\n\n\nConclusione<\/h2>\n\n\n\n
<\/p>\n\n\n\nBibliografia<\/h2>\n\n\n\n
Installazione e configurazione fail2ban su Ubuntu e Nginx (Giovanni Sacheli)<\/a> (EveMilano.com<\/a>)<\/em><\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"