Version du 22 septembre 2014 à 08:57

Introduction

Le but de fail2ban est d'empêcher une attaque par force brute, c'est à dire qu'un individu trouve un tuple identifiant/mot de passe permettant l'accès à un serveur. Fail2ban va analyser les logs pour compter le nombre de tentatives et bannir l'IP qui essaye de se connecter si elle dépasse le nombre maximal d’essais.

Installation

yum -y install fail2ban

Configuration

Tout d'abord il faut copier le fichier /etc/fail2ban/jail.conf en /etc/fail2ban/jail.local

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Dans ce fichier, on va s'intéresser aux variables suivantes:

ignoreip : correspond à la suite d'adresses IP qui ne se feront jamais bannir;
maxretry : correspond au nombre d'essais;
findtime : correspond à la période pendant laquelle les essais vont incrémenter maxretry;
bantime : correspond au temps ou l'adresse IP ne peut pas se connecter.

Choix de la punition

Il faut choisir quelque chose de cohérent (une punition suffisante) pour ne pas permettre de se faire cracker son mot de passe:

maxretry = 3
findtime = 86400 (correspond à 1 journée)
bantime = 604800 (correspond à 1 semaine)

Cela signifie que si une adresse IP se trompe 3 fois en 1 journée (86400s) elle se fait bannir pendant 1 semaine (604800s).

Un rapide calcule permet de trouver le nombre maximal de tentative durant une année:

365 jours / 7 jours par semaine * 3 tentatives = 156 essais, ce qui reste raisonnable.

Si le pirate possède un botnet, il faut bien sûr multiplier ce nombre par le nombre de machines dans le botnet...

Attention : fail2ban parcours les logs de connexion pour connaître le numéro de la tentative, ce qui à pour conséquence, si le findtime est grand, de prendre un certain temps...

Configuration de la section Jail

enabled : permet d'activer le filtrage
filter : donne un nom au filtre
action : permet de bloquer le port (ssh) avec une règles Iptables et d'envoyer un mail
logpath : indique le fichier de log

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
           sendmail-whois[name=SSH, dest=tala.informatique@gmail.com, sender=fail2ban@tala.informatique.fr, sendername="Fail2Ban"]
logpath  = /var/log/secure
maxretry = 5

Démarrage et enregistrement dans le chargeur de démarrage

service fail2ban start
chkconfig fail2ban on

« Sécuriser un service avec Fail2ban » : différence entre les versions