Fail2ban - 版の履歴

Kusanaginoturugi: Category:セキュアシェル

2024-08-16T09:36:02Z

← 古い版		2024年8月16日 (金) 18:36時点における版
1行目:		1行目:
	[[Category:ファイアウォール]]		[[Category:ファイアウォール]]
	[[Category:~~Secure Shell~~]]		[[Category:セキュアシェル]]
	[[en:Fail2ban]]		[[en:Fail2ban]]
	[[ro:Fail2ban]]		[[ro:Fail2ban]]

Kgx: 項目を整理

2023-12-20T22:04:31Z

項目を整理

@@ 56行目: / 56行目: @@
 [{'sshd': ['192.168.100.50']}, {'apache-auth': []}]
 }}
 == 設定 ==

Kgx: /* 設定 */ 情報を更新

2023-12-20T22:03:28Z

設定: 情報を更新

@@ 84行目: / 84行目: @@
 == 設定 ==
-{{Note|ディストリビューションのアップデートで {{ic|jail.conf}} ファイルは上書きされてしまう可能性があるので、{{ic|jail.local}} ファイルや {{ic|jail.d/}} ディレクトリ下の ''.conf'' ファイル (例: {{ic|jail.d/ssh-iptables.conf}}) に修正を加えるのが推奨されます。}}
+[[アップグレード]] 中に {{ic|/etc/fail2ban/jail.conf}} に対して [[pacman/Pacnew と Pacsave]] が作成される可能性があるため、{{man|5|jail.conf|CONFIGURATION FILES FORMAT}} では、''アップグレードを容易にする'' ために、ユーザーが {{ic|/etc/fail2ban/jail.local}} ファイルを [[作成]] することをお勧めします。
 == ヒントとテクニック ==

Kgx: ヒントとテクニックを翻訳して追加

2023-12-20T21:51:11Z

ヒントとテクニックを翻訳して追加

@@ 123行目: / 123行目: @@
  LogLevel VERBOSE
 そうしないとパスワード認証の失敗が正しく記録されません。
 == 参照 ==

Kgx: 使い方を翻訳して追加

2023-12-20T21:31:04Z

使い方を翻訳して追加

@@ 22行目: / 22行目: @@
 * {{Pkg|fail2ban}} - 最新の安定バージョン。
 * {{AUR|fail2ban-git}} - マスターからの最新のコミット。
 == ハードニング ==

Kgx: /* インストール */ 情報を更新

2023-12-20T21:26:15Z

インストール: 情報を更新

← 古い版		2023年12月21日 (木) 06:26時点における版
18行目:		18行目:
	== インストール ==		== インストール ==

	~~{{Pkg\|fail2ban}}~~ パッケージを[[インストール]]してください。		次のパッケージのいずれかを [[インストール]] して下さい:

			* {{Pkg\|fail2ban}} - 最新の安定バージョン。
	誰かが ban されたときに Fail2ban からメールを送信したい場合、[[SSMTP]] などをセットアップする必要があります。
			* {{AUR\|fail2ban-git}} - マスターからの最新のコミット。

	=== systemd ===

	{{ic\|fail2ban.service}} ユニットを[[有効化]]してください。

	== ハードニング ==		== ハードニング ==

Kgx: 序文を更新

2023-12-20T21:23:36Z

序文を更新

← 古い版		2023年12月21日 (木) 06:23時点における版
8行目:		8行目:
	{{Related\|セキュリティ}}		{{Related\|セキュリティ}}
	{{Related articles end}}		{{Related articles end}}
	[~~http~~://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] は~~様々なテキストの~~ログファイルをスキャンして、~~何度もパスワード~~認証を失敗し~~ている~~ IP アドレスを拒否するようファイアウォールのルールを更新~~して ban し~~ます。~~[[Sshguard]]~~ ~~に似てい~~ます。		[https://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] は、ログファイル (例:{{ic\|/var/log/httpd/error_log}}) をスキャンし、認証の試行回数が多すぎる、脆弱性のスキャンなど、悪意のある兆候を示す IP を禁止します。一般に、Fail2ban は、次に、次の IP アドレスを拒否するように [[ファイアウォール]] ルールを更新するために使用されます。指定された時間だけですが、他の任意のアクション (電子メールの送信など) も設定できます。
			{{Warning\|
	{{warning\|IP ブラックリストを使えば取るに足らない攻撃を防ぐことはできますが、デーモンを使う必要がある上に攻撃時のログは残ります (特に攻撃者が何度もサーバーにアタックした場合 {{ic\|/var}} を含むパーティションが一杯になってしまう可能性もあります)。さらに、攻撃者があなたの IP アドレスを知っている場合、ソースヘッダーを偽装したパケットを送りつけてあなたがサーバーにアクセスできないように仕向けてくるかもしれません。[[SSH 鍵]]はこれらの問題に煩わされることなくブルートフォースの問題を解決する方法を提供します。}}
			* IP を禁止するソフトウェアを使用することで、些細な攻撃は止めることができますが、追加のデーモンとロギングの成功に依存します。
			* fail2ban を [[sshd]] などと併用することは、公開鍵認証などが有効になっている場合には、通常は意味がありません。
			* また、[[VPN]] の代わりにもなりません。必要な場合を除き、サービスをインターネットに公開しないでください。
			* さらに、攻撃者があなたの IP アドレスを知っている場合、送信元ヘッダーを偽装したパケットを送信し、あなたの IP アドレスを使用禁止にすることができます。必ず {{ic\|ignoreip}} で IP を指定してください。
			}}

	== インストール ==		== インストール ==

Kusanaginoturugi: 序文を修正

2021-11-07T12:26:16Z

序文を修正

← 古い版		2021年11月7日 (日) 21:26時点における版
8行目:		8行目:
	{{Related\|セキュリティ}}		{{Related\|セキュリティ}}
	{{Related articles end}}		{{Related articles end}}
⚫	{{warning\|IP ブラックリストを使えば取るに足らない攻撃を防ぐことはできますが、デーモンを使う必要がある上に攻撃時のログは残ります (特に攻撃者が何度もサーバーにアタックした場合 {{ic\|/var}} を含むパーティションが一杯になってしまう可能性もあります)。さらに、攻撃者があなたの IP アドレスを知っている場合、ソースヘッダーを偽装したパケットを送りつけてあなたがサーバーにアクセスできないように仕向けてくるかもしれません。[[SSH 鍵]]はこれらの問題に煩わされることなくブルートフォースの問題を解決する方法を提供します。}}
	[http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] は様々なテキストのログファイルをスキャンして、何度もパスワード認証を失敗している IP アドレスを拒否するようファイアウォールのルールを更新して ban します。[[Sshguard]] に似ています。		[http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] は様々なテキストのログファイルをスキャンして、何度もパスワード認証を失敗している IP アドレスを拒否するようファイアウォールのルールを更新して ban します。[[Sshguard]] に似ています。
		⚫	{{warning\|IP ブラックリストを使えば取るに足らない攻撃を防ぐことはできますが、デーモンを使う必要がある上に攻撃時のログは残ります (特に攻撃者が何度もサーバーにアタックした場合 {{ic\|/var}} を含むパーティションが一杯になってしまう可能性もあります)。さらに、攻撃者があなたの IP アドレスを知っている場合、ソースヘッダーを偽装したパケットを送りつけてあなたがサーバーにアクセスできないように仕向けてくるかもしれません。[[SSH 鍵]]はこれらの問題に煩わされることなくブルートフォースの問題を解決する方法を提供します。}}

	{{Warning\|正しく機能させるためにログの IP アドレスを正確にパースさせることが重要です。保護したいアプリケーションごとにログフィルターがちゃんと動くかどうかテストするようにしてください。}}

	== インストール ==		== インストール ==

Kusakata: 同期

2018-01-29T13:38:24Z

同期

← 古い版		2018年1月29日 (月) 22:38時点における版
1行目:		1行目:
			[[Category:ファイアウォール]]
	[[Category:Secure Shell]]		[[Category:Secure Shell]]
	[[en:Fail2ban]]		[[en:Fail2ban]]
5行目:		6行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|Sshguard}}		{{Related\|Sshguard}}
			{{Related\|セキュリティ}}
	{{Related articles end}}		{{Related articles end}}
	{{warning\|IP ブラックリストを使えば取るに足らない攻撃を防ぐことはできますが、デーモンを使う必要がある上に攻撃時のログは残ります (特に攻撃者が何度もサーバーにアタックした場合 {{ic\|/var}} を含むパーティションが一杯になってしまう可能性もあります)。さらに、攻撃者があなたの IP アドレスを知っている場合、ソースヘッダーを偽装したパケットを送りつけてあなたがサーバーにアクセスできないように仕向けてくるかもしれません。[[SSH 鍵]]はこれらの問題に煩わされることなくブルートフォースの問題を解決する方法を提供します。}}		{{warning\|IP ブラックリストを使えば取るに足らない攻撃を防ぐことはできますが、デーモンを使う必要がある上に攻撃時のログは残ります (特に攻撃者が何度もサーバーにアタックした場合 {{ic\|/var}} を含むパーティションが一杯になってしまう可能性もあります)。さらに、攻撃者があなたの IP アドレスを知っている場合、ソースヘッダーを偽装したパケットを送りつけてあなたがサーバーにアクセスできないように仕向けてくるかもしれません。[[SSH 鍵]]はこれらの問題に煩わされることなくブルートフォースの問題を解決する方法を提供します。}}
74行目:		76行目:
	enabled = true		enabled = true
	filter = sshd		filter = sshd
	action = iptables~~[name=SSH, port=ssh, protocol=tcp]~~		action = iptables
	sendmail-whois[name=SSH, dest=your@mail.org, sender=fail2ban@mail.com]
	backend = systemd		backend = systemd
	maxretry = 5		maxretry = 5
83行目:		84行目:
	fail2ban はバージョン 0.10 から [[IPv6]] をサポートしています。使用しているファイアウォールに応じて、{{ic\|ip6tables.service}} などを起動・有効化してください。		fail2ban はバージョン 0.10 から [[IPv6]] をサポートしています。使用しているファイアウォールに応じて、{{ic\|ip6tables.service}} などを起動・有効化してください。

	{{Note\|ファイアウォールとして [[shorewall]] を使っている場合、{{ic\|1=iptables~~[name=SSH, port=ssh, protocol=tcp]~~}} を {{ic\|shorewall}} に置き換えてください。また、{{ic\|/etc/shorewall/shorewall.conf}} の {{ic\|BLACKLIST}} を {{ic\|ALL}} に設定することができます。この設定を行わないと IP アドレスを ban するルールは新しい接続にしか適用されません。}}		{{Note\|ファイアウォールとして [[shorewall]] を使っている場合、{{ic\|iptables}} を {{ic\|shorewall}} に置き換えてください。また、{{ic\|/etc/shorewall/shorewall.conf}} の {{ic\|BLACKLIST}} を {{ic\|ALL}} に設定することができます。この設定を行わないと IP アドレスを ban するルールは新しい接続にしか適用されません。}}

	また、{{ic\|/etc/ssh/sshd_config}} に次を追加/変更してください:		また、{{ic\|/etc/ssh/sshd_config}} に次を追加/変更してください:
	LogLevel VERBOSE		LogLevel VERBOSE
	そうしないとパスワード認証の失敗が正しく記録されません。		そうしないとパスワード認証の失敗が正しく記録されません。

			== 参照 ==

			* [http://www.the-art-of-web.com/system/fail2ban-action-whitelist/ Using a Fail2Ban Jail to Whitelist a User]
			* [http://www.the-art-of-web.com/system/fail2ban-filters/ Optimising your Fail2Ban filters]
			* [http://www.the-art-of-web.com/system/fail2ban-sendmail/ Fail2Ban and sendmail]
			* [http://www.the-art-of-web.com/system/fail2ban/ Fail2Ban and iptables]
			* [http://www.the-art-of-web.com/system/fail2ban-howto/ Fail2Ban 0.8.3 Howto]
			* [http://www.the-art-of-web.com/system/fail2ban-log/ Monitoring the fail2ban log]

Kusakata: 同期

2017-11-04T04:40:58Z

同期

← 古い版		2017年11月4日 (土) 13:40時点における版
13行目:		13行目:
	== インストール ==		== インストール ==

	~~[[公式リポジトリ]]から~~ {{Pkg\|fail2ban}} をインストールしてください。		{{Pkg\|fail2ban}} パッケージを[[インストール]]してください。

	誰かが ban されたときに Fail2ban からメールを送信したい場合、[[SSMTP]] などをセットアップする必要があります。		誰かが ban されたときに Fail2ban からメールを送信したい場合、[[SSMTP]] などをセットアップする必要があります。
34行目:		34行目:
	}}		}}

	上の例では、{{ic\|CAP_DAC_READ_SEARCH}} で fail2ban に完全な読み取りアクセスを許可し、{{ic\|CAP_NET_ADMIN}} と {{ic\|CAP_NET_RAW}} で [[iptables]] によるファイアウォールのルールの設定を許可しています。fail2ban の設定によっては、ケイパビリティを追加する必要があるでしょう。詳しくは {{~~ic\|~~man capabilities}} を見て下さい。		上の例では、{{ic\|CAP_DAC_READ_SEARCH}} で fail2ban に完全な読み取りアクセスを許可し、{{ic\|CAP_NET_ADMIN}} と {{ic\|CAP_NET_RAW}} で [[iptables]] によるファイアウォールのルールの設定を許可しています。fail2ban の設定によっては、ケイパビリティを追加する必要があるでしょう。詳しくは {{man\|7\|capabilities}} を見て下さい。

	=== ファイルシステムのアクセス ===		=== ファイルシステムのアクセス ===
56行目:		56行目:
	=== パス ===		=== パス ===

		⚫	Arch Linux の基本設定を有効にするには、{{ic\|jail.local}} ファイルに以下のセクションを追加・変更:
	Arch Linux で最初から使える path は存在しませんが、Fedora のデフォルト設定を使うことができます:
	# cp /etc/fail2ban/paths-fedora.conf /etc/fail2ban/paths-archlinux.conf

⚫	設定を有効にするには、{{ic\|jail.local}} ファイルに以下のセクションを追加・変更:
	[INCLUDES]		[INCLUDES]
	before = paths-~~archlinux~~.conf		before = paths-arch.conf

	{{ic\|fail2ban.service}} を[[再起動]]して設定をテストしてください。fail2ban サービスが起動に失敗すると ''fail2ban-client'' から "file not found errors" が出力されます。{{ic\|paths-~~archlinux~~.conf}} や {{ic\|jail.local}} を必要に応じて調整してください。デフォルトの jail は設定を変更しないと動作しない場合があります。		{{ic\|fail2ban.service}} を[[再起動]]して設定をテストしてください。fail2ban サービスが起動に失敗すると ''fail2ban-client'' から "file not found errors" が出力されます。{{ic\|paths-arch.conf}} や {{ic\|jail.local}} を必要に応じて調整してください。デフォルトの jail は設定を変更しないと動作しない場合があります。

	=== カスタム SSH jail ===		=== カスタム SSH jail ===
71行目:		68行目:
	使っているファイアウォールが [[iptables]] の場合:		使っているファイアウォールが [[iptables]] の場合:
	[DEFAULT]		[DEFAULT]
	bantime = ~~864000~~		bantime = 1d
	ignoreip = 127.0.0.1/8		ignoreip = 127.0.0.1/8

81行目:		78行目:
	backend = systemd		backend = systemd
	maxretry = 5		maxretry = 5
			findtime = 1d
		⚫	bantime = 2w

			fail2ban はバージョン 0.10 から [[IPv6]] をサポートしています。使用しているファイアウォールに応じて、{{ic\|ip6tables.service}} などを起動・有効化してください。
	Fail2Ban はバージョン 0.9 から {{ic\|1=backend = systemd}} を設定することで systemd の journal から直接情報を読み取ることができるようになっています。

	使っているファイアウォールが [[shorewall]] の場合:
	[DEFAULT]
⚫	bantime = ~~864000~~
	ignoreip = 127.0.0.1/8

	[ssh-shorewall]
	enabled = true
	filter = sshd
	action = shorewall
	sendmail-whois[name=SSH, dest=your@mail.org, sender=fail2ban@mail.com]
	backend = systemd
	maxretry = 5

	{{Note\|{{ic\|/etc/shorewall/shorewall.conf}} で {{Ic\|BLACKLIST}} を {{Ic\|ALL}} に設定することができます。この設定を行わないと IP アドレスを ban するルールは新しい接続にしか適用されません。}}		{{Note\|ファイアウォールとして [[shorewall]] を使っている場合、{{ic\|1=iptables[name=SSH, port=ssh, protocol=tcp]}} を {{ic\|shorewall}} に置き換えてください。また、{{ic\|/etc/shorewall/shorewall.conf}} の {{ic\|BLACKLIST}} を {{ic\|ALL}} に設定することができます。この設定を行わないと IP アドレスを ban するルールは新しい接続にしか適用されません。}}

	また、{{ic\|/etc/ssh/sshd_config}} に次を追加/変更してください:		また、{{ic\|/etc/ssh/sshd_config}} に次を追加/変更してください: