Ubuntu20.04にFail2banをインストールして構成する方法

インターネットに公開されているサービスはすべて、マルウェア攻撃のリスクがあります。たとえば、公開されているネットワークでサービスを実行している場合、攻撃者はブルートフォース攻撃を使用してアカウントにサインインする可能性があります。

Fail2banは、サービスログで悪意のあるアクティビティを監視することにより、ブルートフォース攻撃やその他の自動化された攻撃からLinuxマシンを保護するのに役立つツールです。正規表現を使用してログファイルをスキャンします。パターンに一致するすべてのエントリがカウントされ、それらの数が特定の事前定義されたしきい値に達すると、Fail2banはシステムファイアウォールを使用して問題のあるIPを特定の期間禁止します。禁止期間が終了すると、IPアドレスは禁止リストから削除されます。

この記事では、Ubuntu20.04にFail2banをインストールして構成する方法について説明します。

UbuntuへのFail2banのインストール＃

Fail2banパッケージは、デフォルトのUbuntu20.04リポジトリに含まれています。これをインストールするには、rootまたはsudo権限を持つユーザーとして次のコマンドを入力します。

sudo apt updatesudo apt install fail2ban

インストールが完了すると、Fail2banサービスが自動的に開始されます。サービスのステータスを確認することで確認できます：

sudo systemctl status fail2ban

出力は次のようになります：

● fail2ban.service - Fail2Ban Service
     Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2020-08-19 06:16:29 UTC; 27s ago
       Docs: man:fail2ban(1)
   Main PID: 1251 (f2b/server)
      Tasks: 5 (limit: 1079)
     Memory: 13.8M
     CGroup: /system.slice/fail2ban.service
             └─1251 /usr/bin/python3 /usr/bin/fail2ban-server -xf start

それでおしまい。この時点で、UbuntuサーバーでFail2Banが実行されています。

Fail2ban構成＃

デフォルトのFail2banインストールには、/etc/fail2ban/jail.confという2つの構成ファイルが付属しています。 および/etc/fail2ban/jail.d/defaults-debian.conf 。これらのファイルは、パッケージの更新時に上書きされる可能性があるため、変更することはお勧めしません。

Fail2banは、次の順序で構成ファイルを読み取ります。各.local ファイルは.confの設定を上書きします ファイル：

• /etc/fail2ban/jail.conf
• /etc/fail2ban/jail.d/*.conf
• /etc/fail2ban/jail.local
• /etc/fail2ban/jail.d/*.local

ほとんどのユーザーにとって、Fail2banを構成する最も簡単な方法は、jail.confをコピーすることです。 jail.localへ .localを変更します ファイル。上級ユーザーは.localを作成できます 構成ファイルを最初から作成します。 .local ファイルには、対応する.confのすべての設定を含める必要はありません。 ファイル、上書きしたいものだけ。

.localを作成します デフォルトのjail.confの構成ファイル ファイル：

sudo cp /etc/fail2ban/jail.{conf,local}

Fail2banサーバーの構成を開始するには、jail.localを開きます。 テキストエディタでファイルする：

sudo nano /etc/fail2ban/jail.local

このファイルには、各構成オプションの機能を説明するコメントが含まれています。この例では、基本設定を変更します。

ホワイトリストIPアドレス＃

禁止から除外するIPアドレス、IP範囲、またはホストをignoreipに追加できます。 指令。ここで、ローカルPCのIPアドレスと、ホワイトリストに登録する他のすべてのマシンを追加する必要があります。

ignoreipで始まる行のコメントを解除します IPアドレスをスペースで区切って追加します：

ignoreip = 127.0.0.1/8 ::1 123.123.123.123 192.168.1.0/24

禁止設定＃

bantimeの値 、findtime 、およびmaxretry オプションは禁止時間と禁止条件を定義します。

bantime IPが禁止されている期間です。サフィックスが指定されていない場合、デフォルトで秒になります。デフォルトでは、bantime 値は10分に設定されています。一般的に、ほとんどのユーザーはより長い禁止時間を設定したいと思うでしょう。値を好みに合わせて変更します：

bantime  = 1d

IPを恒久的に禁止するには、負の数を使用します。

findtime 禁止が設定されるまでの失敗回数の間の期間です。たとえば、Fail2banが5回の失敗後にIPを禁止するように設定されている場合（maxretry 、以下を参照）、これらの障害はfindtime内に発生する必要があります 期間。

findtime  = 10m

maxretry IPが禁止されるまでの障害の数です。デフォルト値は5に設定されていますが、これはほとんどのユーザーにとって問題ないはずです。

maxretry = 5

action = %(action_mw)s

destemail = [email protected]

sender = [email protected]

[proftpd]
enabled  = true
port     = ftp,ftp-data,ftps,ftps-data
logpath  = %(proftpd_log)s
backend  = %(proftpd_backend)s

[sshd]
enabled   = true
maxretry  = 3
findtime  = 1d
bantime   = 4w
ignoreip  = 127.0.0.1/8 23.34.45.56

sudo systemctl restart fail2ban

fail2ban-client -h