インストール

EPELリポジトリから導入可能

設定ファイル

たくさんあってややこしい

/etc/fail2ban/fail2ban.conf 全体の設定ファイル

fail2ban全体の設定ファイル。動作ログの出力先などを変更すべし。後述するrecidiveの設定の時にログの出力先をsyslogから変更する必要がある。

/etc/fail2ban/jail.conf 適用すべきフィルターをまとめたファイル

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
           sendmail-whois[name=SSH, [email protected],   [email protected], sendername="Fail2Ban"]
logpath  = /var/log/secure
bantime = 3600
maxretry = 3

なお基本的にはjail.confはデフォルトとしてそのまま変更せず、同じフォルダにjail.localを作成すべき。conf→localの順番で読み込んで設定を追記またはオーバーライドできる。

/etc/fail2ban/filter.d/*.conf 各フィルターの動作

主要なサービスの定義はすでにある。カスタマイズしたものはここに配置して、jail.localから[ファイル名]で適用できる。

Script Kiddy

https://github.com/miniwark/miniwark-howtos/wiki/Fail2Ban-setup-for-Apache

注意点

ログに出力したものを解析するので、sshで22番ポートをふさいでいたりした場合は検知できない。また禁止期間中にアクセスしても回数にはカウントされないし、禁止期間が延びるわけではない(最初の禁止から設定時間後にクリア)。厳しくしすぎると解除するのが大変。

解除コマンド

fail2ban-client set JAIL名 unbanip MYIP

トップ   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS