[Memo2014][ITPASS] fail2ban のインストールと設定

• fail2ban をインストールした.

  $ sudo -s
  # apt-get update
  # apt-get install fail2ban

• iptables -L でインストールされたことを確認した. 以下のように fail2banの記述が表示されていればよい.

  # iptables -L
  
  Chain INPUT (policy ACCEPT)
  target     prot opt source               destination
  fail2ban-ssh  tcp  --  anywhere             anywhere
  multiport dports ssh
  
  Chain FORWARD (policy ACCEPT)
  target     prot opt source               destination
  
  Chain OUTPUT (policy ACCEPT)
  target     prot opt source               destination
  
  Chain fail2ban-ssh (1 references)
  target     prot opt source               destination
  RETURN     all  --  anywhere             anywhere

• fail2ban の設定ファイルは, /etc/fail2ban/jail.conf である.以下に設定の一部を抜粋し, 書き換えた.

ssh

ssh に関する設定を以下のようにを書き換えた.

destemail = root@localhost

[ssh]
enabled = true
port    = ssh
filter  = sshd
logpath  = /var/log/auth.log
maxretry = 4

apache

apache に関する設定を以下のようにを書き換えた.

[apache]

enabled = true
port    = http,https
filter  = apache-auth
findtime= 60
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime  = 1200

# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]

enabled   = true
port      = http,https
filter    = apache-auth
findtime  = 10
logpath = /var/log/httpd-*error.log
maxretry  = 60
bantime  = 1200

apache

• /etc/fail2ban/filter.d/apache-auth.conf の failregex を以下のように編集した.

failregex = [[]client <HOST>[]] user .* authentication failure
            [[]client <HOST>[]] user .* not found
            [[]client <HOST>[]] user .* password mismatch
            [[]client <HOST>[]] (13)Permission denied:
            [[]client <HOST>[]] File does not exist:
            ^<HOST> -.*GET.*
# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex = ^<HOST> -.*GET.*(jpg|jpeg|gif|png).*

ssh

• /etc/fail2ban/filter.d/sshd.conf の failregex を編集し, 以下の1行を追記した.

  ^%(__prefix_line)s .* [[]<HOST>[]] .* POSSIBLE BREAK-IN ATTEMPT!\s*$

• /etc/fail2ban/fail2ban.conf の中のログレベルが 3 になっていることを確認した.
  • ban, unban の記録がログに出力されるレベル

# Option:  loglevel
# Notes.:  Set the log level output.
#          1 = ERROR
#          2 = WARN
#          3 = INFO
#          4 = DEBUG
# Values:  NUM  Default:  3
#
loglevel = 3

• 以下のコマンドで fail2ban を起動した.

  # /etc/init.d/fail2ban start

• fail2ban が動いているか確認した.

  # /etc/init.d/fail2ban status
  Status of authentication failure monitor:fail2ban is running.

ssh

• 情報実験機から, 存在しないユーザ名で tako に ssh を行い, 動作をチェックした.

$ ssh zzzcd@133.30.109.21
  zzzcd@133.30.109.21's password:
  Permission denied, please try again.
(これを繰り返した)

• maxretry 回目には接続が切られ, 何も表示されなくなる. tako で iptables -L をして, リストに加えられているかを確認した.

  root@tako-itpass:~# iptables -L
  Chain INPUT (policy ACCEPT)
  target     prot opt source               destination
  fail2ban-ssh  tcp  --  anywhere             anywhere
  multiport dports ssh
  (省略)
  Chain fail2ban-ssh (1 references)
  target     prot opt source                             destination
  DROP       all  ―  <133.30.109.77> anywhere  <-- これ
  RETURN     all  --  anywhere                           anywhere

• fail2ban のログに記録されているか確認した. 以下のような警告がログ /var/log/fail2ban.log に記載されていればよい.

  2014-11-12 18:21:24,956 fail2ban.actions: WARNING [ssh] Ban <133.30.109.77>
  2012-11-02 15:31:25,646 fail2ban.actions: WARNING [ssh] Unban <133.30.109.77>

apache

• /usr/local/apache2/conf/extra/httpd-vhosts.confの中身のログレベルを

infoにしておく

<IfModule mod_rewrite.c>
…
…
LogLevel info

• 正規表現の書き換え
  • apache-auth.conf, apache-common.conf, apache-nohome.conf, apache-noscript.conf, apache-overflows.conf の中身を以下のように書き換えた:

• /etc/fail2ban/filter.d/apache-auth.conf

  failregex = ^%(_apache_error_client)s (AH(01797|01630): )?client denied by server configuration: (uri )?\S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01617: )?user .*? authentication failure for "\S*": Password Mismatch(, referer: \S+)?$
              ^%(_apache_error_client)s (AH01618: )?user .*? not found(:)?\S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01614: )?client used wrong authentication scheme: \S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH\d+: )?Authorization of user \S+ to access \S* failed, reason: .*$
              ^%(_apache_error_client)s (AH0179[24]: )?(Digest: )?user .*?: password mismatch: \S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH0179[01]: |Digest: )user `.*?' in realm `.+' (not found|denied by provider): \S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01631: )?user .*?:authorization failure for "\S*":(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01775: )?(Digest: )?invalid nonce .* received - length is not \S+(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01788: )?(Digest: )?realm mismatch - got `.*?' but expected `.+'(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01789: )?(Digest: )?unknown algorithm `.*?' received: \S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01793: )?invalid qop `.*?'received: \S*(, referer: \S+)?\s*$
              ^%(_apache_error_client)s (AH01777: )?(Digest: )?invalidnonce .*? received - user attempted time travel(, referer: \S+)?\s*$
              ^<HOST> -.*GET.*

• /etc/fail2ban/filter.d/apache-common.conf

  _apache_error_client = \[[^]]*\] \[(:?error|\S+:\S+)\]( \[pid \d+(:\S+\d+)?\])? \[client <HOST>(:\d{1,5})?\]

• /etc/fail2ban/filter.d/apache-nohome.conf

  failregex = ^%(_apache_error_client)s (AH00128: )?File does not exist:

• /etc/fail2ban/filter.d/apache-noscript.conf

  failregex = ^%(_apache_error_client)s ((AH001(28|30): )?File does not exist|(AH01264: )?script not found or unable to stat):/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)(, referer: \S+)?\s*$
              ^%(_apache_error_client)s script'/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)\S*' not found or unable to stat(, referer: \S+)?\s*$

• /etc/fail2ban/filter.d/apache-overflows.conf

  failregex = ^%(_apache_error_client)s ((AH0013[456]: )?Invalid
  (method|URI) in request .*( - possible attempt to establish SSL
  connection on non-SSL port)?|(AH00565: )?request failed: URI too long
  \(longer than \d+\)|request failed: erroneous characters after protocol
  string: .*|AH00566: request failed: invalid characters in URI)(,referer: \S+)?$

error のテスト

• fail2ban を再起動し, ブラウザを立ち上げ, tako-itpass.scitec.kobe-u.ac.jp/ 以下 の others にパーミッションがないところ, (例えば ITPASS 実習の ppt/odp ファイル) や itpass ドメイン以下の実在しない URL を入力して, findtime 以内に maxretry 回以上アクセスした.
  • runtime error になれば良い.
• iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.

access のテスト

• ブラウザから tako-itpass.scitec.kobe-u.ac.jp　以下のファイルに findtime 以内に maxretry 回更新した.
• runtime error になれば良い.
• iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.
• 確認できたら変更した変数の値をもとに戻して fail2ban を再起動した.

スクリプトの設置

• <URL:../server/2012/system_report/loginfail> を tako の /etc/cron.local/daily/800_loginfail にコピーされていることを確認した.

fail2ban の動作確認

• fail2ban のフィルターの動作確認をした.

  # fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

• 表示内容を確認し, フィルターにかかっていることを確認した.