IT pass HikiWiki - [Memo2016][ITPASS]fail2ban のインストールと設定 Diff
- Added parts are displayed like this.
- Deleted parts are displayed
like this.
{{toc}}
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= 概要
サーバへの不正アクセスを減らすため,
fail2ban のインストールと設定を行う.
= fail2ban のインストール
$ sudo -s
# apt-get update
# apt-get install fail2ban
iptables -L でインストールされたことを確認した.
以下のように fail2ban の記述が表示された.
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain fail2ban-ssh (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere
= 設定ファイルの編集
fail2ban の設定ファイルは, /etc/fail2ban/jail.conf である.
以下の通り設定ファイルを編集した.
== ssh
ssh に関する設定を以下のようにを書き換えた.
enabled が true になっているとサービスが実行される. false は実行されない.
destemail = root@localhost <--追記した
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 4
* ignoreip: 不正アクセスとして扱わないアクセス元を指定.
* bantime: 不正アクセスと認めたときに, アクセスを何秒遮断するか指定.
* findtime, maxretry: findtime 秒間のうちに maxretry 回失敗すると不正アクセスとみなされる.
* destemail: 不正アクセスが認められたときのメールの送り先.
* logpath: 監視をするログの場所を指定する.
== apache
apache に関する設定を以下のようにを書き換えた.
[apache]
enabled = true
port = http,https
filter = apache-auth
findtime= 60
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]
enabled = true
port = http,https
filter = apache-auth
findtime = 10
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
[apache-nohome]
enabled = true
port = http,https
filter = apache-nohome
findtime = 60
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
また以下を書き加えた.
[apache-ddos]
enabled = true
port = http,https
filter = apache-ddos
findtime= 10
logpath = /var/log/httpd-*access.log
maxretry = 60
bantime = 1200
apache ではエラーログを, apache-multiport ではアクセスログを監視する.
findtime, maxretry については, このぐらいが妥当と思われるが要請などがあれば適宜変えていくこと.
= failregex の追加
== apache
* /etc/fail2ban/filter.d/apache-auth.conf の failregex を以下のように編集した.
* failregex を設定すると, その設定に対応したログのメッセージをカウントし, findtime 以内に maxretry 回, 同じ IP アドレスからのメッセージがカウントされるとその IP アドレスからのアクセスが ban される.
* ignoreregex は failregex で設定したもののうち, カウントしたくないメッセージがある場合に設定する.
* failregex の最後の行は access ログを監視するための構文である.
* access ログは error ログとはメッセージの書式が異なるので, その上の 5 つとは書き方が異なる.
* 1 つの html ページに画像がたくさん貼付けてあるとそれだけでカウントして ban してしまうことがある. そのため, png, jpg(jpeg), gif ファイルについては ignoreregex に追加している.
apache-auth.conf, apache-common.conf, apache-nohome.conf, apache-noscript.conf, apache-overflows.conf の中身を以下のように書き換えた.
* /etc/fail2ban/filter.d/apache-auth.conf, apache-ddos.conf
/etc/fail2ban/filter.d/apache-auth.conf を /etc/fail2ban/filter.d/apache-ddos.conf にコピーした.
# cp /etc/fail2ban/filter.d/apache-auth.conf /etc/fail2ban/filter.d/apache-ddos.conf
/etc/fail2ban/filter.d/apache-ddos.conf を以下のように書き換えた.
failregex =^<HOST> -.*GET.*
ignoreregex = \.(?i)(jpe?g|gif|png|bmp|pdf|js|css|woff|eot|ttf|ico|txt|xml|swf|xlsx?|docx?|pptx?)
/etc/fail2ban/filter.d/apache-auth.conf を以下のように書き換える. 1 行目と最終行に変更点があった.
failregex = ^%(_apache_error_client)s (AH(01797|01630): )?client denied by server configuration: (uri )?\S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01617: )?user .*? authentication failure for "\S*": Password Mismatch(, referer: \S+)?$
^%(_apache_error_client)s (AH01618: )?user .*? not found(:)?\S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01614: )?client used wrong authentication scheme: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH\d+: )?Authorization of user \S+ to access \S* failed, reason: .*$
^%(_apache_error_client)s (AH0179[24]: )?(Digest: )?user .*?: password mismatch: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH0179[01]: |Digest: )user `.*?' in realm `.+' (not found|denied by provider): \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01631: )?user .*?:authorization failure for "\S*":(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01775: )?(Digest: )?invalid nonce .* received - length is not \S+(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01788: )?(Digest: )?realm mismatch - got `.*?' but expected `.+'(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01789: )?(Digest: )?unknown algorithm `.*?' received: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01793: )?invalid qop `.*?'received: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01777: )?(Digest: )?invalidnonce .*? received - user attempted time travel(, referer: \S+)?\s*$
ignoreregex = ^<HOST> -.*GET.*(jpg|jpeg|gif|png).*
* /etc/fail2ban/filter.d/apache-common.conf
以下のように記述されているかを確認した.
apache_error_client = \[[^]]*\] \[(:?error|\S+:\S+)\]( \[pid \d+(:\S+\d+)?\])? \[client <HOST>(:\d{1,5})?\]
* /etc/fail2ban/filter.d/apache-nohome.conf
以下のように記述されているかを確認した.
failregex = ^%(_apache_error_client)s (AH00128: )?File does not exist: .*/~.*
# * 変更後
#
# failregex = ^%(_apache_error_client)s (AH00128: )?File does not exist:
#
* /etc/fail2ban/filter.d/apache-noscript.conf
以下のように記述されているか確認した.
failregex = ^%(_apache_error_client)s ((AH001(28|30): )?File does not exist|(AH01264: )?script not found or unable to stat):/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)(, referer: \S+)?\s*$
^%(_apache_error_client)s script'/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)\S*' not found or unable to stat(, referer: \S+)?\s*$
* /etc/fail2ban/filter.d/apache-overflows.conf
以下のように記述されているかを確認した.
failregex = ^%(_apache_error_client)s ((AH0013[456]: )?Invalid
(method|URI) in request .*( - possible attempt to establish SSL
connection on non-SSL port)?|(AH00565: )?request failed: URI too long
\(longer than \d+\)|request failed: erroneous characters after protocol
string: .*|AH00566: request failed: invalid characters in URI)(,referer: \S+)?$
== ssh
* /etc/fail2ban/filter.d/sshd.conf の failregex を編集する.
* 以下の1行を追記した.
^%(__prefix_line)s[iI] .* [[]<HOST>[]] .* POSSIBLE BREAK-IN ATTEMPT\s*S
= ログレベルの確認
* /etc/fail2ban/fail2ban.conf の中のログレベルが 3 になっていることを確認した.
#(デフォルトになっているはずなので, 作業する必要はないが, 確認しておくこと)
* ban, unban の記録がログに出力されるレベル
# Option: loglevel
# Notes.: Set the log level output.
# 1 = ERROR
# 2 = WARN
# 3 = INFO
# 4 = DEBUG
# Values: NUM Default: 3
#
loglevel = 3
ここで, デフォルトでは
# Values: NUM Default: 3
となっているはずが
# Values: NUM Default: 1
となっていた.
= fail2ban の起動
以下のコマンドで fail2ban を起動した.
# systemctl start fail2ban
fail2ban が動いているか確認した.
# systemctl status fail2ban
● fail2ban.service - LSB: Start/stop fail2ban
Loaded: loaded (/etc/init.d/fail2ban)
Active: active (running) since 月 2016-11-07 14:55:48 JST; 3 days ago
CGroup: /system.slice/fail2ban.service
└─895 /usr/bin/python /usr/bin/fail2ban-server -b -s /var/run/fail2ban/fail2ban.sock -p /var/run/fail2ban/fail2ban.pid
11月 07 14:55:48 tako-itpass fail2ban[577]: Starting authentication failure monitor: fail2ban.
11月 07 14:55:48 tako-itpass systemd[1]: Started LSB: Start/stop fail2ban.
11月 10 19:18:54 tako-itpass systemd[1]: Started LSB: Start/stop fail2ban.
* サービスの停止・開始・再起動は
((<[ITPASS2011a]サービスの開始・停止>)) を参照のこと.
= 動作テスト
== ssh
joho10 から, 存在しないユーザ名で tako に ssh を行い, 動作をチェックを行った.
$ ssh hoge@133.30.109.21
hoge@133.30.109.21's password:
Permission denied (Publickey).
(これを繰り返した)
maxretry 回目には接続が切られ,
hoge@joho11-itpass:~$ ssh hoge@133.30.109.21
ssh: connect to host 133.30.109.21 port 22: Connection refused
とメッセージが届いた.
tako で iptables -L をして, リストに加えられているかを確認した.
root@tako-itpass:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh
(省略)
Chain fail2ban-ssh (1 references)
target prot opt source destination
DROP all -- 133.30.109.80 anywhere <-- これ
RETURN all -- anywhere anywhere
fail2ban のログに記録されているか確認した. 以下のような警告がログ /var/log/fail2ban.log に記載されていた.
2016-11-10 19:29:27,959 fail2ban.actions[895]: WARNING [ssh] Ban 133.30.109.81
== apache
=== error のテスト
* fail2ban を再起動した.
# /etc/init.d/fail2ban restart
* ブラウザを立ち上げ, joho01 から
133.30.109.21/hoge
を入力して, findtime 以内に maxretry 回以上アクセスした.
#* runtime error になれば OK.
* iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.
Chain fail2ban-apache-ddos (1 references)
target prot opt source destination
REJECT all -- 133.30.109.71 anywhere reject-with icmp-port-unreachable
RETURN all -- anywhere anywhere
* /var/log/fail2ban.log についても確認した.
2016-11-10 19:50:08,007 fail2ban.actions[28366]: WARNING [apache-ddos] Ban 133.30.109.71
=== access のテスト
* ブラウザから tako-itpass.scitec.kobe-u.ac.jp 以下のファイルに findtime 以内に maxretry 回更新した.
133.30.109.21/test
#* runtime error になれば OK.
* iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.
Chain fail2ban-apache-ddos (1 references)
target prot opt source destination
REJECT all -- 133.30.109.71 anywhere reject-with icmp-port-unreachable
RETURN all -- anywhere anywhere
* /var/log/fail2ban.log についても確認した
2016-11-10 19:57:46,185 fail2ban.actions[28657]: WARNING [apache-ddos] Ban 133.30.109.71
#((*確認できたら変更した変数の値をもとに戻して fail2ban を再起動すること*))
= 挙動がシステムログメールに記載されるように設定
== スクリプトの設置
* ika の ~itpass/ftp/server/2011/system_report/loginfail が tako の /etc/cron.local/daily/800_loginfail にコピーされていることを確認した.
== テスト
* 情報実験機など (固定IPが望ましい) から maxretry 回, 存在しない名前でログインして ban されたことを確認した (同じ日に ssh でテストしているならこの作業はしなくてよい).
* cron の設定を変更してシステムログメールを確認したが出力を確認できなかった.
* 次の日のメールのシステムログに出力されていることを確認する.
* 翌日出力されていることが確認された.
== fail2ban の動作確認
* fail2ban のフィルターの動作確認を行う.
# fail2ban-regex --print-all-missed /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf
* 表示内容を確認し, フィルターにかかっていることを確認する.
= 参考
* ((<Debian clusters|URL:http://debianclusters.org/index.php/Fail2Ban:_Preventing_Brute_Force_SSH>))
* ((<THE ART OF WEB|URL:http://www.the-art-of-web.com/system/logs/>))
* ((<fail2ban wiki|URL:http://www.fail2ban.org/wiki/index.php/Talk:Apache>))
* ((<[ITPASS2012]サービスの開始・停止>))
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= 概要
サーバへの不正アクセスを減らすため,
fail2ban のインストールと設定を行う.
= fail2ban のインストール
$ sudo -s
# apt-get update
# apt-get install fail2ban
iptables -L でインストールされたことを確認した.
以下のように fail2ban の記述が表示された.
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain fail2ban-ssh (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere
= 設定ファイルの編集
fail2ban の設定ファイルは, /etc/fail2ban/jail.conf である.
以下の通り設定ファイルを編集した.
== ssh
ssh に関する設定を以下のようにを書き換えた.
enabled が true になっているとサービスが実行される. false は実行されない.
destemail = root@localhost <--追記した
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 4
* ignoreip: 不正アクセスとして扱わないアクセス元を指定.
* bantime: 不正アクセスと認めたときに, アクセスを何秒遮断するか指定.
* findtime, maxretry: findtime 秒間のうちに maxretry 回失敗すると不正アクセスとみなされる.
* destemail: 不正アクセスが認められたときのメールの送り先.
* logpath: 監視をするログの場所を指定する.
== apache
apache に関する設定を以下のようにを書き換えた.
[apache]
enabled = true
port = http,https
filter = apache-auth
findtime= 60
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]
enabled = true
port = http,https
filter = apache-auth
findtime = 10
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
[apache-nohome]
enabled = true
port = http,https
filter = apache-nohome
findtime = 60
logpath = /var/log/httpd-*error.log
maxretry = 60
bantime = 1200
また以下を書き加えた.
[apache-ddos]
enabled = true
port = http,https
filter = apache-ddos
findtime= 10
logpath = /var/log/httpd-*access.log
maxretry = 60
bantime = 1200
apache ではエラーログを, apache-multiport ではアクセスログを監視する.
findtime, maxretry については, このぐらいが妥当と思われるが要請などがあれば適宜変えていくこと.
= failregex の追加
== apache
* /etc/fail2ban/filter.d/apache-auth.conf の failregex を以下のように編集した.
* failregex を設定すると, その設定に対応したログのメッセージをカウントし, findtime 以内に maxretry 回, 同じ IP アドレスからのメッセージがカウントされるとその IP アドレスからのアクセスが ban される.
* ignoreregex は failregex で設定したもののうち, カウントしたくないメッセージがある場合に設定する.
* failregex の最後の行は access ログを監視するための構文である.
* access ログは error ログとはメッセージの書式が異なるので, その上の 5 つとは書き方が異なる.
* 1 つの html ページに画像がたくさん貼付けてあるとそれだけでカウントして ban してしまうことがある. そのため, png, jpg(jpeg), gif ファイルについては ignoreregex に追加している.
apache-auth.conf, apache-common.conf, apache-nohome.conf, apache-noscript.conf, apache-overflows.conf の中身を以下のように書き換えた.
* /etc/fail2ban/filter.d/apache-auth.conf, apache-ddos.conf
/etc/fail2ban/filter.d/apache-auth.conf を /etc/fail2ban/filter.d/apache-ddos.conf にコピーした.
# cp /etc/fail2ban/filter.d/apache-auth.conf /etc/fail2ban/filter.d/apache-ddos.conf
/etc/fail2ban/filter.d/apache-ddos.conf を以下のように書き換えた.
failregex =^<HOST> -.*GET.*
ignoreregex = \.(?i)(jpe?g|gif|png|bmp|pdf|js|css|woff|eot|ttf|ico|txt|xml|swf|xlsx?|docx?|pptx?)
/etc/fail2ban/filter.d/apache-auth.conf を以下のように書き換える. 1 行目と最終行に変更点があった.
failregex = ^%(_apache_error_client)s (AH(01797|01630): )?client denied by server configuration: (uri )?\S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01617: )?user .*? authentication failure for "\S*": Password Mismatch(, referer: \S+)?$
^%(_apache_error_client)s (AH01618: )?user .*? not found(:)?\S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01614: )?client used wrong authentication scheme: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH\d+: )?Authorization of user \S+ to access \S* failed, reason: .*$
^%(_apache_error_client)s (AH0179[24]: )?(Digest: )?user .*?: password mismatch: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH0179[01]: |Digest: )user `.*?' in realm `.+' (not found|denied by provider): \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01631: )?user .*?:authorization failure for "\S*":(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01775: )?(Digest: )?invalid nonce .* received - length is not \S+(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01788: )?(Digest: )?realm mismatch - got `.*?' but expected `.+'(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01789: )?(Digest: )?unknown algorithm `.*?' received: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01793: )?invalid qop `.*?'received: \S*(, referer: \S+)?\s*$
^%(_apache_error_client)s (AH01777: )?(Digest: )?invalidnonce .*? received - user attempted time travel(, referer: \S+)?\s*$
ignoreregex = ^<HOST> -.*GET.*(jpg|jpeg|gif|png).*
* /etc/fail2ban/filter.d/apache-common.conf
以下のように記述されているかを確認した.
apache_error_client = \[[^]]*\] \[(:?error|\S+:\S+)\]( \[pid \d+(:\S+\d+)?\])? \[client <HOST>(:\d{1,5})?\]
* /etc/fail2ban/filter.d/apache-nohome.conf
以下のように記述されているかを確認した.
failregex = ^%(_apache_error_client)s (AH00128: )?File does not exist: .*/~.*
# * 変更後
#
# failregex = ^%(_apache_error_client)s (AH00128: )?File does not exist:
#
* /etc/fail2ban/filter.d/apache-noscript.conf
以下のように記述されているか確認した.
failregex = ^%(_apache_error_client)s ((AH001(28|30): )?File does not exist|(AH01264: )?script not found or unable to stat):/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)(, referer: \S+)?\s*$
^%(_apache_error_client)s script'/\S*(php([45]|[.-]cgi)?|\.asp|\.exe|\.pl)\S*' not found or unable to stat(, referer: \S+)?\s*$
* /etc/fail2ban/filter.d/apache-overflows.conf
以下のように記述されているかを確認した.
failregex = ^%(_apache_error_client)s ((AH0013[456]: )?Invalid
(method|URI) in request .*( - possible attempt to establish SSL
connection on non-SSL port)?|(AH00565: )?request failed: URI too long
\(longer than \d+\)|request failed: erroneous characters after protocol
string: .*|AH00566: request failed: invalid characters in URI)(,referer: \S+)?$
== ssh
* /etc/fail2ban/filter.d/sshd.conf の failregex を編集する.
* 以下の1行を追記した.
^%(__prefix_line)s[iI] .* [[]<HOST>[]] .* POSSIBLE BREAK-IN ATTEMPT\s*S
= ログレベルの確認
* /etc/fail2ban/fail2ban.conf の中のログレベルが 3 になっていることを確認した.
#(デフォルトになっているはずなので, 作業する必要はないが, 確認しておくこと)
* ban, unban の記録がログに出力されるレベル
# Option: loglevel
# Notes.: Set the log level output.
# 1 = ERROR
# 2 = WARN
# 3 = INFO
# 4 = DEBUG
# Values: NUM Default: 3
#
loglevel = 3
ここで, デフォルトでは
# Values: NUM Default: 3
となっているはずが
# Values: NUM Default: 1
となっていた.
= fail2ban の起動
以下のコマンドで fail2ban を起動した.
# systemctl start fail2ban
fail2ban が動いているか確認した.
# systemctl status fail2ban
● fail2ban.service - LSB: Start/stop fail2ban
Loaded: loaded (/etc/init.d/fail2ban)
Active: active (running) since 月 2016-11-07 14:55:48 JST; 3 days ago
CGroup: /system.slice/fail2ban.service
└─895 /usr/bin/python /usr/bin/fail2ban-server -b -s /var/run/fail2ban/fail2ban.sock -p /var/run/fail2ban/fail2ban.pid
11月 07 14:55:48 tako-itpass fail2ban[577]: Starting authentication failure monitor: fail2ban.
11月 07 14:55:48 tako-itpass systemd[1]: Started LSB: Start/stop fail2ban.
11月 10 19:18:54 tako-itpass systemd[1]: Started LSB: Start/stop fail2ban.
* サービスの停止・開始・再起動は
((<[ITPASS2011a]サービスの開始・停止>)) を参照のこと.
= 動作テスト
== ssh
joho10 から, 存在しないユーザ名で tako に ssh を行い, 動作をチェックを行った.
$ ssh hoge@133.30.109.21
hoge@133.30.109.21's password:
Permission denied (Publickey).
(これを繰り返した)
maxretry 回目には接続が切られ,
hoge@joho11-itpass:~$ ssh hoge@133.30.109.21
ssh: connect to host 133.30.109.21 port 22: Connection refused
とメッセージが届いた.
tako で iptables -L をして, リストに加えられているかを確認した.
root@tako-itpass:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh
(省略)
Chain fail2ban-ssh (1 references)
target prot opt source destination
DROP all -- 133.30.109.80 anywhere <-- これ
RETURN all -- anywhere anywhere
fail2ban のログに記録されているか確認した. 以下のような警告がログ /var/log/fail2ban.log に記載されていた.
2016-11-10 19:29:27,959 fail2ban.actions[895]: WARNING [ssh] Ban 133.30.109.81
== apache
=== error のテスト
* fail2ban を再起動した.
# /etc/init.d/fail2ban restart
* ブラウザを立ち上げ, joho01 から
133.30.109.21/hoge
を入力して, findtime 以内に maxretry 回以上アクセスした.
#* runtime error になれば OK.
* iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.
Chain fail2ban-apache-ddos (1 references)
target prot opt source destination
REJECT all -- 133.30.109.71 anywhere reject-with icmp-port-unreachable
RETURN all -- anywhere anywhere
* /var/log/fail2ban.log についても確認した.
2016-11-10 19:50:08,007 fail2ban.actions[28366]: WARNING [apache-ddos] Ban 133.30.109.71
=== access のテスト
* ブラウザから tako-itpass.scitec.kobe-u.ac.jp 以下のファイルに findtime 以内に maxretry 回更新した.
133.30.109.21/test
#* runtime error になれば OK.
* iptables -L を見て, アクセスした IP アドレスが ban されていることを確認した.
Chain fail2ban-apache-ddos (1 references)
target prot opt source destination
REJECT all -- 133.30.109.71 anywhere reject-with icmp-port-unreachable
RETURN all -- anywhere anywhere
* /var/log/fail2ban.log についても確認した
2016-11-10 19:57:46,185 fail2ban.actions[28657]: WARNING [apache-ddos] Ban 133.30.109.71
#((*確認できたら変更した変数の値をもとに戻して fail2ban を再起動すること*))
= 挙動がシステムログメールに記載されるように設定
== スクリプトの設置
* ika の ~itpass/ftp/server/2011/system_report/loginfail が tako の /etc/cron.local/daily/800_loginfail にコピーされていることを確認した.
== テスト
* 情報実験機など (固定IPが望ましい) から maxretry 回, 存在しない名前でログインして ban されたことを確認した (同じ日に ssh でテストしているならこの作業はしなくてよい).
* cron の設定を変更してシステムログメールを確認したが出力を確認できなかった.
* 次の日のメールのシステムログに出力されていることを確認する.
* 翌日出力されていることが確認された.
== fail2ban の動作確認
* fail2ban のフィルターの動作確認を行う.
# fail2ban-regex --print-all-missed /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf
* 表示内容を確認し, フィルターにかかっていることを確認する.
= 参考
* ((<Debian clusters|URL:http://debianclusters.org/index.php/Fail2Ban:_Preventing_Brute_Force_SSH>))
* ((<THE ART OF WEB|URL:http://www.the-art-of-web.com/system/logs/>))
* ((<fail2ban wiki|URL:http://www.fail2ban.org/wiki/index.php/Talk:Apache>))
* ((<[ITPASS2012]サービスの開始・停止>))
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]