https://wiki.ourominas.com.br/index.php?action=history&feed=atom&title=Introducao_ao_fail2banIntroducao ao fail2ban - Histórico de revisão2026-04-17T12:40:50ZHistórico de revisões para esta página neste wikiMediaWiki 1.45.1https://wiki.ourominas.com.br/index.php?title=Introducao_ao_fail2ban&diff=130&oldid=previmported>Admin: uma edição2020-08-08T03:11:03Z<p>uma edição</p>
<table style="background-color: #fff; color: #202122;" data-mw="interface">
<col class="diff-marker" />
<col class="diff-content" />
<col class="diff-marker" />
<col class="diff-content" />
<tr class="diff-title" lang="pt-BR">
<td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">← Edição anterior</td>
<td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">Edição das 03h11min de 8 de agosto de 2020</td>
</tr><tr><td colspan="4" class="diff-notice" lang="pt-BR"><div class="mw-diff-empty">(Sem diferença)</div>
</td></tr>
<!-- diff cache key omph_wiki-maquine_:diff:1.41:old-129:rev-130 -->
</table>imported>Adminhttps://wiki.ourominas.com.br/index.php?title=Introducao_ao_fail2ban&diff=129&oldid=prev2532252>Jefferson em 23h53min de 30 de julho de 20192019-07-30T23:53:40Z<p></p>
<p><b>Página nova</b></p><div>Retirado do Site <https://pop-ba.rnp.br/Site/ShowDoc?PR=IntranetPOPBA.PR-271><br />
<br />
PR-271 - Instalação de ferramenta de ataques brute-force em servidores GNU/Linux<br />
<br />
Data Criação:<br />
<br />
Data Revisão:<br />
<br />
1. Objetivo<br />
<br />
2. Aplicação<br />
<br />
3. Definições<br />
<br />
4. Descrição das etapas<br />
<br />
Instalação do fail2ban<br />
<br />
Configuração<br />
<br />
Configuração de bloqueio autenticação SASL (SMTP - Opcional)<br />
<br />
Configuração de bloqueio para courier (IMAP, POP - Opcional)<br />
<br />
Configuração de bloqueio para apache (HTTP - Opcional)<br />
<br />
Configuração de bloqueio para webmail (Opcional)<br />
<br />
5. Responsabilidades e Autoridades<br />
<br />
6. Fluxograma<br />
<br />
7. Documentos Relacionados<br />
<br />
8. Referências<br />
<br />
1. Objetivo<br />
<br />
Instalar e configurar o fail2ban para bloqueio de ataque brute-force.<br />
<br />
2. Aplicação<br />
<br />
Cabe aos funcionários do PoP-BA.<br />
<br />
3. Definições<br />
<br />
Conceitue todos os itens relevantes com este processo, a fim de tornar o texto do processo claro e sem duplas interpretações<br />
<br />
4. Descrição das etapas<br />
<br />
Qualquer servidor que rode um serviço sujeito a ataques brute-force é necessário planejar a implementação de uma ferramenta de identificação e contenção, que nesse caso será o fail2ban.<br />
<br />
O fail2ban é uma ferramenta que provê uma solução automatizada de contenção de ataques brute-force a sistemas protegidos por senha. Basicamente o fail2ban verifica os logs dos serviços e identifica padrões e a partir destes <br />
bloqueia origens de tentativas indevidas de login.<br />
<br />
Para instalar e configurar a ferramenta basta seguir os passos abaixo logado no servidor em questão.<br />
<br />
Instalação do fail2ban<br />
<br />
Para instalar o fail2ban basta o comando abaixo.<br />
<br />
aptitude update<br />
<br />
aptitude install fail2ban<br />
<br />
Configuração<br />
<br />
Usaremos o fail2ban para conter ataques brute-force no serviço de autenticação de serviços como ssh, smtp, imap, pop, http e etc. Para cada serviço é necessário configurar uma classe de serviço, que contem parâmetros <br />
específicos para identificar e conter o ataque.<br />
<br />
Por padrão o fail2ban vem configurado no arquivo /etc/fail2ban/jail.conf para conter ataques ao SSH, mas podemos estender ou modificar a configuração padrão criando um arquivo chamado /etc/fail2ban/jail.local (arquivos .local <br />
no fail2ban são usados para configurações locais do administrador do sistema).<br />
<br />
cat > /etc/fail2ban/jail.local <<EOF<br />
<br />
[<NOME DO SERVICO>]<br />
<br />
enabled = true<br />
<br />
port = <LISTA DE SERVICOS><br />
<br />
filter = <FILTRO><br />
<br />
logpath = <CAMINHO PRO LOG><br />
<br />
maxretry = <NUMERO><br />
<br />
findtime = <VALOR EM SEGUNDOS><br />
<br />
bantime = <VALOR EM SEGUNDOS><br />
<br />
# para enviar e-mail basta usar a action %(action_mw)s<br />
<br />
action = %(action_mw)s<br />
<br />
Abaixo a descrição de cada um dos parâmetros acima:<br />
<br />
enabled: Habilita e desabilita a checagem do serviço<br />
<br />
port: Porta do serviço no qual o bloqueio será realizado, usa-se o nome do protocolo associado (ex: smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s)<br />
<br />
filter: Arquivo com a expressão regular pela qual o fail2ban usará para checar o log do serviço (as expressões são separadas por arquivos no diretório /etc/fail2ban/filter.d/)<br />
<br />
logpath: Caminho completo até o arquivo com o log do serviço que será monitorado<br />
<br />
maxretry: Número de tentativas que serão usadas para bloquear um usuário do serviço<br />
<br />
findtime: Tempo em segundos que o fail2ban usa como intervalo para checar a quantidade de tentativas do usuário<br />
<br />
bantime: Tempo que será usado para bloquear um IP de origem (usuário do serviço)<br />
<br />
action: Ação que será aplicada a quem for identificado como atacante (geralmente bloqueio, mas também pode agregar notificação ao administrado do sistema - por exemplo na ação '%(action_mw)s')<br />
<br />
Por padrão enviamos notificações de bloqueio à nossa lista de monitoramento, sendo necessário editar o e-mail de destino padrão no arquivo /etc/fail2ban/jail.conf, A variável destemail deve possuir o seguinte conteúdo.<br />
<br />
destemail = <ENDEREÇO DE E-MAIL><br />
<br />
Configuração de bloqueio autenticação SASL (SMTP - Opcional)<br />
<br />
Para configurar a checagem e bloqueio de autenticações invalidas no SMTP, usa-se o log produzido pelo SASL. Basta adicionar no arquivo /etc/fail2ban/jail.local a seguinte configuração.<br />
<br />
cat > /etc/fail2ban/jail.local <<EOF<br />
<br />
# configuracoes para SASL<br />
<br />
[sasl]<br />
<br />
enabled = true<br />
<br />
port = smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s<br />
<br />
filter = sasl<br />
<br />
logpath = /var/log/mail.log<br />
<br />
maxretry = <NUMERO><br />
<br />
findtime = <VALOR EM SEGUNDOS><br />
<br />
bantime = <VALOR EM SEGUNDOS><br />
<br />
# para enviar e-mail basta usar a action %(action_mw)s<br />
<br />
action = %(action_mw)s<br />
<br />
EOF<br />
<br />
Configuração de bloqueio para courier (IMAP, POP - Opcional)<br />
<br />
É necessário apenas adicionar a respectiva configuração, abaixo o comando.<br />
<br />
cat > /etc/fail2ban/jail.local <<EOF<br />
<br />
# configuracoes para COURIER<br />
<br />
[courier]<br />
<br />
enabled = true<br />
<br />
port = imap2,imap3,imaps,pop3,pop3s<br />
<br />
filter = courierlogin<br />
<br />
logpath = /var/log/mail.log<br />
<br />
maxretry = <NUMERO><br />
<br />
findtime = <VALOR EM SEGUNDOS><br />
<br />
bantime = <VALOR EM SEGUNDOS><br />
<br />
action = %(action_mw)s<br />
<br />
EOF<br />
<br />
Configuração de bloqueio para apache (HTTP - Opcional)<br />
<br />
É necessário apenas adicionar a respectiva configuração, abaixo o comando.<br />
<br />
cat > /etc/fail2ban/jail.local <<EOF<br />
<br />
# configuracoes para apache<br />
<br />
[apache]<br />
<br />
enabled = true<br />
<br />
port = http, https<br />
<br />
filter = apache-auth<br />
<br />
logpath = /var/log/apache2/error.log<br />
<br />
maxretry = <NUMERO><br />
<br />
findtime = <VALOR EM SEGUNDOS><br />
<br />
bantime = <VALOR EM SEGUNDOS><br />
<br />
action = %(action_mw)s<br />
<br />
EOF<br />
<br />
Configuração de bloqueio para webmail (Opcional)<br />
<br />
TODO<br />
<br />
Agora basta reiniciar o serviço.<br />
<br />
invoke-rc.d fail2ban restart<br />
<br />
5. Responsabilidades e Autoridades<br />
<br />
Definição das pessoas e suas responsabilidades com relação a tarefas deste processo, inclusive a manutenção deste<br />
<br />
6. Fluxograma<br />
<br />
<br />
Fluxograma com os passos para a execução deste processo<br />
<br />
7. Documentos Relacionados<br />
<br />
Configurando fail2ban<br />
<br />
8. Referências<br />
<br />
Fail2ban - Manual<br />
<br />
Fail2ban - Whitelist<br />
<br />
<br />
[[Category: TI]]<br />
[[Category: LINUX]]<br />
[[Category: FAIL2BAN]]</div>2532252>Jefferson