Fail2ban

Fail2ban

简介：
Fail2ban 能够监控系统日志，匹配日志中的错误信息（使用正则表达式），执行相应的屏蔽动作（支持多种，一般为调用 iptables ），是一款很实用、强大的软件。
如：攻击者不断尝试穷举 SSH 、SMTP 、FTP 密码等，只要达到预设值，fail2ban 就会调用防火墙屏蔽此 IP ，并且可以发送邮件通知系统管理员。
功能、特性：
1、支持大量服务：sshd 、apache 、qmail 等
2、支持多作动作：iptables 、tcp-wrapper 、shorewall 、mail notifications 等
3、logpath 选项中支持通配符
4、需要 Gamin 支持（Gamin 用于监控文件和目录是否更改）
5、如果需要邮件通知，则系统事先要确保能够正常发送邮件

fail2ban的安装

环境centos6.5

官网：http://www.fail2ban.org/wiki/index.php/Main_Page

1 、上传 包 fail2ban-0.8.4.tar.bz2
2 、[root@localhost 桌面]# tar xf fail2ban-0.8.4.tar.bz2
3 、[root@localhost 桌面]# cd fail2ban-0.8.4
4 、[root@localhost fail2ban-0.8.4]# ./setup.py install

---

/etc/fail2ban ## fail2ban 服务配置目录
/etc/fail2ban/action.d ## iptables 、mail 等动作文件目录
/etc/fail2ban/filter.d ## 条件匹配文件目录，过滤日志关键内容
/etc/fail2ban/jail.conf ## fail2ban 防护配置文件
/etc/fail2ban/fail2ban.conf ## fail2ban 配置文件，定义日志级别、日志、sock 文件位置等

---

5 、[root@localhost fail2ban-0.8.4]# grep chkconfig ./* -R –color
./files/redhat-initd:# chkconfig: 345 92 08
6 、[root@localhost fail2ban-0.8.4]# cp files/redhat-initd /etc/init.d/fail2ban
7 、[root@localhost fail2ban-0.8.4]# service fail2ban restart
8 、[root@localhost fail2ban-0.8.4]# vim /etc/fail2ban/jail.conf

---

fail2ban.conf 配置

---

shell > grep -v ^# /etc/fail2ban/fail2ban.conf

[Definition]

loglevel = 3 ## 定义日志级别，默认

logtarget = /var/log/fail2ban.log ## 定义 fail2ban 日志文件

socket = /var/run/fail2ban/fail2ban.sock ## sock 文件存放位置，默认

pidfile = /var/run/fail2ban/fail2ban.pid ## pid 文件存放位置，默认

---

jail.conf 防护配置

---

shell > grep -v ^# /etc/fail2ban/jail.conf

[DEFAULT] ## 全局设置，优先级最小

ignoreip = 127.0.0.1/8 ## 不受限制的 IP ，多组用空格分割

bantime = 600 ## 非法 IP 被屏蔽时间（秒），-1 代表永远封锁

findtime = 600 ## 设置多长时间（秒）内超过 maxretry 限制次数即被封锁

maxretry = 3 ## 最大尝试次数

backend = auto ## 日志修改检测机制（gamin 、polling 、auto 三种）

usedns = warn

[ssh-iptables] ## 分类设置（基于 SSHD 服务的防护）

enabled = true ## 是否开启防护，false 为关闭

filter = sshd ## 过滤规则 filter 名称，对应 filter.d 目录下的 sshd.conf

action = iptables[name=SSH, port=ssh, protocol=tcp] ## 动作参数
sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername=”Fail2Ban”] ## 邮件通知参数
## 收件人地址 ## 发件人地址
logpath = /var/log/secure ## 检测系统登陆日志文件

maxretry = 5 ## 最大尝试次数

默认此配置文件中还有大量的服务防护配置，只不过默认都是关闭（false）状态，不用理会。

---

根据自己的要求修改配置文件

最后测试