fail2ban の履歴(No.2)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• fail2ban へ行く。
  • 1 (2021-07-17 (土) 00:06:28)
  • 2 (2021-07-17 (土) 00:15:30)

&tag(fail2ban);

目次†[edit]

関連ページ†[edit]

参考情報†[edit]

概要†[edit]

• 不正なアクセスを自動で弾くサーバー用設定。
• 不正な条件に合致したタイミングでiptablesやufwに除外ルールを追加することで実現。

インストール†[edit]

• Ubuntu 20.04の場合

  sudo apt install fail2ban

• インストールで自動起動が有効になる(?)

設定†[edit]

基本設定†[edit]

• 設定ファイルの上書きを防ぐため「jail.local」を作成 する。
• デフォルトのbanactionを変更。

  #banaction = iptables-multiport
  banaction = ufw
  

apacheで403/404アクセスを除外する†[edit]

• Apache向けfail2banの簡易構築手順 - Qiita

jail.localの編集†[edit]

• jail.localの末尾に追加。

  [apache-403]
  enabled = true
  filter = apache-403
  logpath = /var/log/apache2/access.log
  action = ufw
  maxretry = 10
  findtime = 30
  bantime = 1800
  
  [apache-404]
  enabled = true
  filter = apache-404
  logpath = /var/log/apache2/access.log
  action = ufw
  maxretry = 10
  findtime = 30
  bantime = 1800
  

フィルターの作成†[edit]

• failregexに合致する文字列がlogに含まれているかどうか。
• /etc/fail2ban/filter.d/apache-403.confを作成

  [Definition]
  failregex =  ^<HOST>.*"(GET|POST).*" 403 .*$                      # フィルター
  ignoreregex = 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 # ホワイトリスト
  

• /etc/fail2ban/filter.d/apache-404.confを作成

  [Definition]
  failregex =  ^<HOST>.*"(GET|POST).*" 403 .*$                      # フィルター
  ignoreregex = 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 # ホワイトリスト
  

apache-badbots: 悪いロボットを除外する†[edit]

jail.localの編集†[edit]

• jail.localを編集する。

  [apache-badbots]
  ## Ban hosts which agent identifies spammer robots crawling the web
  ## for email addresses. The mail outputs are buffered.
  enabled = true
  filter = apache-badbots
  port     = http,https
  logpath  = /var/log/apache2/access.log
  action = ufw
  bantime  = 48h
  maxretry = 1
  

フィルターの変更†[edit]

• /etc/fail2ban/filter.d/apache-badbots.confを編集。failregexは初期状態だと最後のUserAgentに完全一致になっている。".*"を前後に追加して部分一致で良くする(そのかわり過剰にマッチしないか気にしないとイケない)。

  [Definition]
  #failregex = ^<HOST>.*"(GET|POST|HEAD).*HTTP.*"(?:%(badbots)s|%(badbotscustom)s).*"$
  failregex = ^<HOST>.*"(GET|POST|HEAD).*HTTP.*".*(?:%(badbots)s|%(badbotscustom)s).*"$
  
  ignoreregex =
  
  datepattern = ^[^\[]*\[({DATE})
                {^LN-BEG}
  

ログローテーション†[edit]

• ubuntuだと一応デフォルトでログローテーションが有効になっている。
• そのままにしておく。