Linux: "Закрываем дверь". Автоматическая блокировка Brute-Force атак с fail2ban

Вы открыли SSH-порт (22) в мир. Поздравляем, через 5 минут вас начнут брутфорсить — боты будут подбирать пароль к root 24/7. Смотреть на это в auth.log больно.
fail2ban — это не антивирус. Это автоматизированный парсер логов, который на лету обновляет ваш файрвол (iptables/firewalld).

Как это работает:

Следит: fail2ban в реальном времени читает лог (например, /var/log/auth.log).
Находит: Он видит 3-5-10 неудачных попыток входа с одного IP (вы сами задаете число).
Блокирует: Он немедленно выполняет команду iptables -I INPUT -s <IP_АТАКУЮЩЕГО> -j DROP, блокируя IP на 10 минут, час или навсегда.

План внедрения "на пальцах":
Bash

1. Установка
sudo apt install fail2ban -y

2. Создаем свой конфиг (НИКОГДА не правьте jail.conf)
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Что добавить в jail.local:
Ini, TOML

[DEFAULT]
# Баним на 1 час
bantime = 1h
# 5 неудачных попыток
maxretry = 5

[sshd]
# Включаем защиту для SSH
enabled = true
port = ssh
logpath = %(sshd_log)s

3. Перезапускаем: sudo systemctl restart fail2ban

Взгляд архитектора: Это активная защита. Вы не просто надеетесь на сложный пароль. Вы строите эшелонированную оборону (Defense in Depth). fail2ban — это "сторожевой", который автоматически отсекает 99% низкоуровневого "шума", позволяя вам сосредоточиться на реальных угрозах.

#linux #security #fail2ban #automation #cybersecurity #гайд

Linux: "Кто трогал этот файл?" Настраиваем auditd — ваш черный ящик

fail2ban блокирует атаки. auditd — записывает всё, что происходит в системе. Это "бортовой самописец", который нужен для любого серьезного расследования инцидентов (IR).

auditd позволяет вам поставить "жучок" на любой файл, системный вызов или событие.

План внедрения "на пальцах":

1. Установка: sudo apt install auditd audispd-plugins (Ubuntu/Debian)

2. Настройка правил: Правила — это "что слушать". Они живут в /etc/audit/rules.d/. Создайте sudo nano /etc/audit/rules.d/99-custom.rules

Ini, TOML

# --- 99-custom.rules ---

# 1. Отслеживать ЛЮБЫЕ изменения в /etc/passwd и /etc/shadow
-w /etc/passwd -p wa -k 'identity_changes'
-w /etc/shadow -p wa -k 'identity_changes'

# 2. Отслеживать изменения в конфиге SSH
-w /etc/ssh/sshd_config -p wa -k 'ssh_config_changes'

# 3. Отслеживать вход пользователей с правами root (uid=0)
-a always,exit -F arch=b64 -S execve -F uid=0 -k 'root_activity'

# -w = watch file, -p wa = on write/attribute change, -k = key (для поиска)

3. Перезапуск: sudo systemctl restart auditd

4. Поиск событий: ausearch — это ваш grep для логов аудита.

Bash

# Показать все события, помеченные нашим ключом 'identity_changes'
sudo ausearch -k 'identity_changes'

# Показать, что делал root
sudo ausearch -k 'root_activity' | sudo aureport -f -i

Взгляд архитектора: auditd — это не "просто логи". Это доказательная база для ИБ. Архитектор не просто включает его, он интегрирует его (audispd) с централизованным SIEM (Splunk, ELK). Когда auditd на 100 серверах шлет события в одну точку, вы можете в реальном времени видеть, как атака (например, Lateral Movement) движется по вашей сети.

#linux #security #auditd #sre #cybersecurity #гайд #команды