Instalar configurar y usar fail2ban para evitar ataques de fuerza bruta

A continuación vamos a instalar y configurar Fail2ban con el fin de prevenir ataques de fuerza bruta en nuestro equipo o en nuestro servidor.

¿QUÉ ES Y QUE FUNCIÓN REALIZA FAIL2BAN?

Fail2ban es una herramienta de seguridad escrita en Python fundamental para cualquier servidor que preste servicios públicos.

Su principal función es securizar un servidor del siguiente modo:

1. Evitando accesos indeseados a nuestro equipo o servidor.
2. Evitando ataques de fuerza bruta para que un tercero averigüe nuestra contraseña o tumbe el servidor.

La forma en que fail2ban securiza nuestro servidor se describe a continuación.

¿CÓMO TRABAJA FAIL2BAN?

Por un lado fail2ban está monitorizando las autenticaciones que una determinada IP hace a un determinado/s puerto/s y servicio/s.

Para ello fail2ban está consultando permanente los logs de autenticación de nuestro sistema como por ejemplo el /var/log/auth.log.

Si fail2ban detecta un número determinado de intentos de conexión fallidos bloqueará la IP que está intentando acceder a nuestro equipo o el servicio. La forma de bloquear la IP será introduciendo una regla en el Firewall de nuestro equipo o servidor durante un tiempo determinado que por ejemplo pueden ser 600 segundos.

Una vez transcurridos los 600 segundos, o el tiempo que nosotros queramos, se borrará la regla del firewall. Por lo tanto la IP que fue bloqueada podrá intentar conectar de nuevo a nuestro servidor.

INSTRUCCIONES PARA INSTALAR FAIL2BAN

Para instalar fail2ban tenemos que seguir las siguientes instrucciones.

En Debian y en distribuciones derivadas de Debian ejecutaremos el siguiente comando en la terminal:

sudo apt-get install fail2ban

En Fedora y distribuciones derivadas de Fedora tendremos que ejecutar el siguiente comando en la terminal:

sudo dnf install fail2ban

En sistemas operativos como por ejemplo CentOS ejecutaremos el siguiente comando:

sudo yum install fail2ban

Nota: Si el paquete fail2ban no está disponible en sus repositorios lo pueden instalar siguiendo las instrucciones que encontrarán en la plataforma de desarrollo de fail2ban.

Si además queremos que se nos informe mediante un email cada vez que se bloquee una ip o se reinicie una de las jaulas deberemos instalar sendmail.

Para ello en Debian y distribuciones derivadas de Debian ejecutaremos el siguiente comando en la terminal:

sudo apt-get install sendmail

En Fedora y distribuciones de Fedora ejecutaremos el siguiente comando en la terminal:

sudo dnf install sendmail

Para finalizar, en sistemas operativos como por ejemplo CentOS deberemos ejecutar el siguiente comando en la terminal:

sudo yum install sendmail

INSTRUCCIONES PARA CONFIGURAR FAIL2BAN

En los siguientes apartados mostraremos como podemos configurar de forma sencilla fail2ban.

Configuración y consulta de los filtros

La ubicación que contiene la totalidad de filtros de fail2ban es la siguiente:

/etc/fail2ban/filter.d

Algunos de los filtros que podemos encontrar son los siguientes:

La función de los filtros es definir las expresiones regulares para detectar autenticaciones erróneas o ataques a nuestro equipo o servicio.

Una vez definida una expresión regular se irá comprobando que esta expresión no aparezca en ninguno de los logs de autenticación de nuestros servicios. En el caso que la expresión regular aparezca en los logs se contabilizará un intento fallido de autenticación.

Si pretendemos usar los servicios estándares predeterminados de fail2ban no será necesario modificar ni crear ningún filtro.

Configuración y consulta de las acciones

Otra ubicación interesante para la configuración de fail2ban es la siguiente:

/etc/fail2ban/action.d

En esta ruta se guardan la totalidad de scripts que definen diferentes tipos de acciones a aplicar cuando se detecta un intento de ataque, se arranca alguna de las jaulas, etc.

En principio no tendremos que modificar ni configurar parámetro de este apartado. Fail2ban ya trae predefinidas multitud de acciones.

Configuración de las reglas especificas para un servicio en el archivo jail.conf

jail.conf es el archivo de configuración más importante. En este archivo es donde activamos, desactivamos y configuramos fail2ban para que proteja determinados servicios. De forma genérica se puede decir que en el archivo jail.conf realizamos las siguientes acciones

1. Activamos o desactivamos la protección de fail2ban para un servicio determinado.
2. Definimos el filtro y las acciones que se aplican a cada uno de los servicios.
3. Se define el puerto de funcionamiento de un servicio determinado para que fail2ban pueda funcionar de forma adecuada.
4. Se establece el log a controlar para detectar los intentos de autenticación erróneos.
5. Se establece el número de intentos fallidos que permitimos antes que se aplique la acción para bloquear los intentos de autenticación erróneos.
6. Etc.

Antes de iniciar la configuración es recomendable duplicar el archivo de configuración jail.conf. Para ello ejecutamos el siguiente comando en la terminal:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Una vez duplicado el archivo se deshabilitará la configuración del archivo jail.conf y se aplicará la del archivo jail.local. De esta forma siempre tendremos una copia de la configuración predeterminada de fail2ban.

Para acceder a la configuración de las reglas ejecutamos el siguiente comando en la terminal:

sudo nano /etc/fail2ban/jail.local

El contenido del fichero jail.local está repleto de preconfiguraciones estándares para cada uno de los servicios que podemos proteger. Para activar y configurar las preconfiguraciones tan solo tenemos que comentar, descomentar y modificar los parámetros de cada una de la secciones.

A modo de ejemplo localizamos la sección destinada a proteger nuestro servidor SSH contra ataques DdoS.

[ssh-ddos]
enabled = false
port = ssh
filter = sshd-ddos
logpath = /var/log/auth.log
maxretry = 6

Una vez localizada la sección vemos que la protección está desactivada porque el parámetro enabled tiene el valor false. Por lo tanto, para activar la protección modificaremos el valor campo enabled de false a true.

[ssh-ddos]
enabled = true
port = ssh
filter = sshd-ddos
logpath = /var/log/auth.log
maxretry = 6

El resto de parámetros de la sección los adaptaremos en función de nuestras necesidades. El significado de los parámetros que nos podemos encontrar dentro de una sección es el siguiente:

Nota: Si la sección de un servicio no dispone de los parámetros mencionados en la tabla, entonces toman se toman los parámetros por defecto configurados en la sección [DEFAULT].

Una vez modificados la totalidad de parámetros de la sección [ssh-ddos] guardamos los cambios y salimos del fichero. Para que los cambios se hagan efectivos ejecutamos el siguiente comando para reiniciar fail2ban:

sudo service fail2ban restart

Acto seguido ya estaremos protegiendo nuestro servidor SSH contra ataques de denegación de servicio.

Configuración de alertas vía email en Fail2ban

Si queremos podemos hacer que fail2ban nos avise cada vez que se bloquee una IP o haya alguna incidencia. Para ello, como hemos visto en apartados anteriores tendremos que tener instalado sendmail.

Una vez instalado sendmail ejecutaremos el siguiente comando para averiguar la dirección de email usada por sendmail para enviar los emails:

echo "Email test enviado desde sendmail" | /usr/sbin/sendmail dirección_de_email_personal

Nota: La parte de color rojo del comando la deberéis reemplazar por vuestro correo electrónico.

Acto seguido abrimos nuestro correo electrónico y revisamos la bandeja de entrada y la bandeja de spam.

Tal y como pueden ver en la captura de pantalla sendmail usa la dirección pi@raspberrypi para enviar los emails.

Acto seguido accedemos dentro del fichero de configuración jail.local ejecutando el siguiente comando en la terminal:

sudo nano /etc/fail2ban/jail.local

A continuación, dentro de la sección [ACTIONS] localizamos y configuramos los siguientes parámetros del fichero de configuración:

Una vez modificados la totalidad de parámetros guardamos los cambios y salimos del fichero. Para que los cambios se hagan efectivos ejecutamos el siguiente comando para reiniciar fail2ban:

sudo service fail2ban restart

A partir de estos momentos cada vez que se arranque o pare una de las jaulas de fail2ban o se bloquee una ip se nos enviará notificaciones vía email.

Otras configuraciones en la sección [DEFAULT] de jail.conf

En el fichero jail.conf o jail.local existen otros parámetros de configuración que también podemos que considerar. Son los siguientes:

Nota: Si la sección de un servicio, como por ejemplo [ssh], contiene alguno de los parámetros de la sección [DEFAULT], entonces la configuración de la sección del servicio [ssh] prevalecerá sobre la configuración de la sección [DEFAULT].

Otras configuraciones en la sección [ACTIONS] de jail.conf

En el apartado [ACTIONS] del fichero de configuración jail.local podemos configurar otros parámetros. Algunos de ellos son los siguientes:

Nota: Por norma general la configuración estándar de este fichero es adecuada y no es necesario modificarla.

Consultar y definir la configuración general de fail2ban

Inicialmente es recomendable duplicar el archivo de configuración genérico de fail2ban. Para ello ejecutamos el siguiente comando en la terminal:

sudo cp /etc/fail2ban/fail2ban.conf /etc/fail2ban/fail2ban.local

Una vez duplicado el archivo se deshabilitará la configuración del archivo fail2ban.conf y aplicará del archivo fail2ban.local. De esta forma siempre tendremos una copia de la configuración predeterminada de fail2ban.

Para acceder a la configuración general de fail2ban ejecutamos el siguiente comando en la terminal:

sudo nano /etc/fail2ban/fail2ban.local

Dentro de este fichero podemos modificar los siguientes parámetros:

Nota: El fichero de configuración genérica es válido para 99,9% de los casos. Por lo tanto rara vez tendremos que modificar ningún parámetro en este fichero.

SERVICIOS CON LOS QUE PODEMOS USAR FAIL2BAN

Fail2ban viene preconfigurado de forma predeterminada para poder usarse en multitud de servicios como por ejemplo los siguientes:

1. SSH
2. Servidores web como por ejemplo lighttpd, nginx y Apache
3. Servidores ftp como por ejemplo vsftpd, proftpd, pure-ftpd. wuftpd
4. En servidores de email como por ejemplo Postfix, exim, squirrelmail, Courier, dovecot, sasl, etc.
5. Servicios de proxy como Squid.
6. Otros servicios como Asterisk, FreeSWITCH, Drupal, WordPress, etc.
7. etc.

VER LAS REGLAS DEL FIREWALL APLICADAS POR FAIL2BAN

Supongamos que se bloquea una IP. Para confirmar que realmente se ha bloqueado la IP ejecutaremos el siguiente comando en la terminal:

sudo iptables -L -n --line-numbers

Acto seguido veréis un contenido parecido al siguiente:

Por lo tanto podrán ver que la IP 146.83.221.242 ha sido bloqueado. Para que esta IP sea desbloqueada podemos esperar que transcurra el tiempo que hayamos definido. Si no queremos esperar podemos ejecutar el siguiente comando en la terminal:

Para borrar la IP de la línea 1 de la jaula fail2ban-ssh ejecutaremos el siguiente comando en la terminal:

sudo iptables -D fail2ban-ssh 1

Acto seguido si volvemos a aplicar el comando

sudo iptables -L -n --line-numbers

Veremos que ya no existe ningún tipo de bloqueo en el firewall.

INSTRUCCIONES PARA CONSULTAR LOS LOGS

Si quieren consultar los logs de fail2ban les invito a seguir las instrucciones que se mencionan en el siguiente artículo:

Como consultar y analizar los logs de Fail2ban para tomar decisiones