Pages

Ads 468x60px

viernes, 26 de diciembre de 2014

How to: proteger SSH con Fail2Ban (Debian)




Si hace poco os mostraba como securizar SSH mediante el archivo de configuración sshd_config, hoy vamos a retomar el tema, pero instalando Fail2Ban.

Fail2Ban es una herramienta de código abierto que nos permite bloquear los ataques externos hacia nuestro servidor.

El método que usa para funcionar consiste en revisar los logs de autenticación fallidos y según las reglas que hayamos establecido, podemos "banear" la IP del atacante. También nos puede ayudar a la hora de mitigar los taques DoS o de denegación de servicio.


Vamos al lío. Lo primero actualizamos nuestro sistema.

     sudo apt-get update

Ahora damos paso a la instalación de Fail2Ban.

     sudo apt-get install fail2ban

Una vez instalado, vamos a configurarlo. Desde la documentación de Fail2Ban aconsejan que la configuración la realicemos en archivos con extensión .local, así que vamos a copiarlo para comenzar la configuración.

     cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Ahora editamos el archivo jail.local.

     vi /etc/fail2ban/jail.local




Los paramentros son los siguientes:
  • Ignoreip: Son las direcciones IP que no tendrán restricciones, es decir, las que no vamos a banear (las nuestras). Por defecto aparece la dirección localhost expresada en formato CIDR.
  • Bantime: Es el tiempo que van a estar las direcciones bloqueadas (las que nos ataquen).
  • Maxretry: Son las veces que alguien va a poder intentar logarse antes de que sea baneado.

En el ejemplo se ignora la IP 127.0.0.1/8, es decir, a nosotros mismos. El tiempo que una IP no podrá volver a conectarse es de 600 segundos (10 minutos) y los intentos máximos quedan establecidos en tres.

Lo siguiente que podemos establecer, es la dirección de correo que recibirá las alertas en caso de que alguien intente un ataque. Por defecto aparece root@localhost.





Siguiendo el orden del fichero jail.local, podemos configurar las acciones que se llevarán a cabo frente a un posible ataque.

  



En este ejemplo, por defecto lo que hace es bloquear la dirección IP del atacante y enviar un e-mail al administrador.

Para terminar, en la parte de Jails lo que haremos es definir los parámetros del servicio que vamos a proteger. Por ejemplo y ya que estamos, lo vemos con SSH.




Por el momento esto es todo, solo nos resta reiniciar Fail2Ban para tenerlo listo.

     /etc/init.d/file2ban restart



Roberto García (@1GbDeInfo)

0 comentarios:

Publicar un comentario

Creative Commons Licence
1Gb De informacion by Roberto García Amoriz is licensed under a Creative Commons Attribution-NonCommercial 3.0 Unported License.
Based on a work at http://www.1gbdeinformacion.com/.
Permissions beyond the scope of this license may be available at http://www.1gbdeinformacion.com/.

Perfil profesional en Linkedin

 
Blogger Templates