En los tiempos de ahora una forma común de hackear un servidor es conectarse a sus puertos y explotar vulnerabilidades conocidas o atacar por la fuerza buscando alguna cuenta con una contraseña conocida.
Esto nos obliga a estar pendientes de actualizaciones criticas y estar mirando logs del OS buscando pruebas de ataques para poder reaccionar antes de que sea tarde. Por suerte existe fail2ban, un framework escrito en Python para prevención de intrusos (intrusion prevention framework) que básicamente inspecciona logs del OS y reacciona bloqueando temporalmente (o total) las ip's sospechosas de un ataque. Al ser temporal el bloqueo no dejamos por fuera completamente a alguna conexión legitima que estuviera desconfigurada.
Fail2ban puede realizar varias acciones al detectar intentos maliciosos de conexión como son bloqueo de ip/dominio por medio de iptables, envió de email con un alerta a un administrador, actualizar por medio de TCP Wrappers el archivo hosts.deny o una acción definida en un script Python. Entre los scripts que ya vienen preconfigurados encontramos chequeos para sshd, apache, asterisk, vsftpd, postfix entre otros lo cual nos permite tenerlo funcionando en pocos minutos desde que lo instalamos.
Para el articulo de hoy veremos como se instala en un servidor Linux Centos 6.5 actualizado a la fecha.
Requerimientos
- Servidor Linux Centos 6.5
- Repositorio RPMForge
-Instalamos por medio del repositorio RPMForge
yum --enablerepo=rpmforge install fail2ban
-Configuramos Fail2ban y activamos los chequeos que queremos tener activos
vi /etc/fail2ban/jail.conf
[DEFAULT]
#ignoreip nos permite agregar las ip's que no queremos bloquear. Pensemos en la ip del mismo host
#que ejecuta fail2ban como primera opcion. Si queremos podemos agregar otras ip's separandolas
#con espacios en blancos; también podemos usar dominios
ignoreip = 127.0.0.1/8
#bantime es el numero de segundos que estará bloqueado un host. Podemos incrementarlo o
#decrementarlo según nuestra necesidad
bantime = 600
#Tiempo en segundos del que dispone un host para logearse antes de la cantidad máxima de veces que
#nos indica maxretry
findtime = 600
#Numero de intentos antes de ser bloqueado un host
maxretry = 3
[ssh-iptables]
enabled = true
filter = sshd
#Personalizamos la acción para que nos llegue a nuestro email la alerta. you@example.com lo
#cambiamos por nuestra dirección y fail2ban@example.com es el campo from (De) del email
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com]
logpath = /var/log/sshd.log
maxretry = 5
-Directorios a tener en cuenta dentro de /etc/fail2ban
/etc/fail2ban/action.d <-------------- directorio de scripts a ejecutarse por action
/etc/fail2ban/filter.d <---------------- directorio de filtros que activaran los scripts de action
-Activamos el servicio para que se ejecute siempre que inicie el servidor y lo ejecutamos por primera vez
chkconfig fail2ban on
service fail2ban start
-Verificamos las reglas de iptables
iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
-Para desbloquear una ip ejecutamos el siguiente comando
iptables -D fail2ban-ssh 1
Al automatizar ciertas tareas como la de verificar logs para reaccionar a ataques; tendremos mas tiempo para investigar y trabajar en otros temas. Ya usas Fail2ban, con cuales servicios? usas otro sistema de prevención de intrusos, cual?
Si te resulto útil este articulo, se social, haz un tweet, compártelo con otros por medio de los botones o sígueme en twitter , google+ o email y podrás estar enterado de todas mis publicaciones.
Disfrútenlo.
