BLK IT Solutions FAQ

Immer wieder versuchen irgendwelche Script-Kiddies den SSH-Zugang eines Servers per Bruteforce zu knacken (ein Blick in die Authentifikations-Logdatei /var/log/auth.log lohnt sich immer wieder). Um dies zu verhindern gibt es das sehr nützliche Tool Fail2Ban. Es sperrt den Zugriff von einer IP für SSH bei einer definierten Zahl von falschen Passwort-Eingaben für eine definierte Zeit.

Da Faile2Ban noch nicht in der "Stable"-Distribution von Sarge enthalten ist, müssen "Unstable" Quellen zur Verfügung stehen. Dies erreicht man durch das editieren der Datei /etc/apt/sources.list. Diese Datei sollte umgefähr wie folgt aussehen:

# Stable
deb     http://ftp.de.debian.org/debian/ stable main
deb-src http://ftp.de.debian.org/debian/ stable main
deb     http://security.debian.org/ stable/updates main
deb-src http://security.debian.org/ stable/updates main

# Unstable
deb     http://ftp.de.debian.org/debian etch main
deb-src http://ftp.de.debian.org/debian etch main
deb     http://security.debian.org/ etch/updates main
deb-src http://security.debian.org/ etch/updates main

Damit nun nicht alle Packete von der "Unstable"-Distribution von Sarge heruntergeladen werden, muss die Datei /etc/apt/apt.conf erstellt/editiert werden und mit folgender Zeile ergänzt werden:

APT::Default-Release "stable";

Wenn dies erledigt ist müssen die Quellen zuerst mittels "apt-get update" aktualisiert werden. Um Fail2Ban dann auch wirklich zu installieren muss folgender Befehl in der Shell eingegeben werden:

apt-get -t unstable install fail2ban

Nun ist Fail2Ban installiert. Die Konfiguration kann unter /etc/fail2ban.conf (in Version 0.7.x oder höher wurde die Konfiguration aufgeteilt, die Hauptconfigurationsdatei befindet sich unter /etc/fail2ban/jail.conf) fangepasst werden. Intressant sind für uns folgende Settings:

• maxfailures = 5: Definiert die Anzahl der maximalen Fehlversuche beim Login bevor die IP gesperrt wird
• bantime = 600: Definiert wie lange die IP im gegebenen Fall gesperrt werden soll in Sekunden

Das Log für Fail2Ban befindet sich unter /var/log/fail2ban.log.