ADMIN Magazin Gestapelt - Schneller und sicherer mit RAID (Vorschau)

Fail2ban
Security
Die eigentliche Blockade wird von der
jeweiligen Firewall-Software ausgeführt,
im Beispiel-Fall ist dies Linux-IPTables.
In der Datei »/etc/fail2ban/action.d/
iptables‐multiport.conf« finden sich dafür
die Einstellungen:
Actionban: actionban = iptables U
‐I fail2ban‐Name 1 ‐s IP ‐j DROP
Actionunban: actionunban = iptables U
‐D fail2ban‐Name ‐s IP ‐j DROP
Abbildung 1: So tauchen fehlgeschlagene Login-Versuche in einer Logdatei auf.
bung der Strings zu achten (case insensitive).
Die Syntax gehorcht den Regeln der
Python Regular Expressions.
Layout
Die bisher erwähnten Konfigurationsdateien
liegen im Unterverzeichnis
»filter.d«, wo sich auch noch eine Reihe
weiterer Anwendungen findet. Wenn sie
nicht hundertprozentig auf das eigene
Betriebssystem zutreffen, muss man sie
gegebenenfalls anpassen. Auf der Fail-
2ban-Site gibt es für einige Services noch
spezifische Howto-Dokumente, die weiterhelfen.
Die Haupt-Konfigurationsdatei heißt »jail.
conf« und enthält viele nützliche Hinweise.
So lässt sich mit »ignoreip« eine IP-
Adresse oder eine ganzes Netz einstellen,
das von der Blockade ausgenommen ist,
damit sich der Admin nicht versehentlich
selbst aussperrt. Außerdem enthält die
Datei Default-Einstellungen, die für alle
Dienste gelten, solange diese sie nicht
überschreiben, etwa:
bantime = 3600
maxretry = 3
Hiermit hat jeder Anwender drei Versuche
frei, sein Glück zu versuchen. Das
ist recht restriktiv und vielleicht zu restriktiv
für viele Situationen. Die »bantime«
legt in Sekunden fest, wie lange eine IP-
Adresse ausgesperrt bleibt.
Auch der Backend-Daemon, der die Logdateien
überprüft, lässt sich festlegen.
Hier ist »gamin« eine gute Wahl, denn
hiermit wird Fail2ban über Änderungen
unterrichtet und das System somit weniger
belastet als durch eine ständige Überprüfung.
Laut Fail2ban-Dokumentation
ist diese Einstellung auf Fedora- und Red-
Hat-Systemen sogar obligatorisch, weil
der Logscanner sonst in Konflikt mit SE-
Linux gerät.
Im Verzeichnis »actions.d« sind schließlich
die Maßnahmen aufgeführt, die Fail-
2ban ergreift. Der Rest der Datei »jails.
conf« besteht aus jeweils einer kurzen
Defintion für den zu überwachenden
Dienst, der sich über die Anweisung
»enabled« ein- und ausschalten lässt:
[sasl]
enabled
port
filter
logpath
= true
= smtp
= sasl
= /var/log/mail.log
Statt konkrete Gegenmaßnahmen zu starten,
kann Fail2ban auch nur einen Trigger
auslösen. Die komplette Breitseite feuert
dagegen Listing 2 ab, das den mutmaßlichen
Angreifer blockiert und eine E-Mail
mit den Logdaten und einem Whois-Auszug
der IP-Adresse verschickt.
Listing 1: Failregex-Beispiele
Listing 2: Aktionen: Sperren und Mailen
Mit der ersten Zeile wird ein Eintrag in
der Firewall vorgenommen, der die IP-
Adresse »IP« sperrt, die aus dem Muster
der Failregex stammt.
Fazit
Fail2ban kann helfen, Brute-Force-Attacken
auf alle möglichen Dienste zu verhindern
oder zumindest wesentlich zu
bremsen. Vorausgesetzt wird vernünftiges
Logging des jeweiligen Service und
Kenntnisse von Regular Expressions
auf Seiten des Administrators. Nach der
Installation sollte man gelegentlich einen
Blick in »/var/log/fail2ban.log« werfen
und die Erfolgsquote des neuen Wächters
überprüfen. (ofr)
n
Infos
[1] SASL: [http:// en. wikipedia. org/ wiki/ Simple_
Authentication_and_Security_Layer]
[2] Fail2ban: [http:// www. fail2ban. org/]
[3] TCP-Wrapper: [http:// en. wikipedia. org/​
wiki/ TCP_Wrapper]
01 failregex = ^%(__prefix_line)s(?:error: PAM: )?Authentication failure for .* from \s*$
02 ^%(__prefix_line)s(?:error: PAM: )?User not known to the underlying authentication module
for .* from\s*$
03 ^%(__prefix_line)sFailed (?:password|publickey) for .* from (?: port \d*)?(?:
ssh\d*)?$
04 ^%(__prefix_line)sROOT LOGIN REFUSED.* FROM \s*$
05 ^%(__prefix_line)s[iI](?:llegal|nvalid) user .* from \s*$
06 ^%(__prefix_line)sUser .+ from not allowed because not listed in AllowUsers$
07 ^%(__prefix_line)sauthentication failure; logname=\S* uid=\S* euid=\S* tty=\S* ruser=\S*
rhost=(?:\s+user=.*)?\s*$
08 ^%(__prefix_line)srefused connect from \S+ \(\)\s*$
09 ^%(__prefix_line)sAddress .* POSSIBLE BREAK‐IN ATTEMPT!*\s*$
10 ^%(__prefix_line)sUser .+ from not allowed because none of user's groups are listed
in AllowGroups\s*$
01 # ban the IP & send an e‐mail with whois report and include relevant log lines to the destemail
02 action_mwl = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s]
03 %(mta)s‐whois‐lines[name=%(__name__)s, dest="%(destemail)s", logpath=%(logpath)s]
www.admin-magazin.de
Admin
Ausgabe 06-2012
87