fail2ban 惡意樣式 網路監控 Log

fail2ban主機型入侵偵測 即時防護網路服務

2015-05-13
fail2ban提供多種網路服務的惡意樣式,當所監控的Log檔案內出現了預先定義的惡意樣式,就立即執行預先設定過的動作,以達到自動發現惡意行為並自動處理的功能。
對於系統管理者而言,主機上的Log檔案是了解系統狀況的最佳管道,其內容之豐富可說道盡了系統所有的情況,但也因其過於豐富煩雜的特性,相信沒有一個系統管理者能夠完全掌握其中的內容,因此常需要自動化工具的幫忙,利用樣式比對的方式,在定義好相關的樣式後能即時監控相關的Log檔案。

在本文中,樣式指的是惡意來源IP攻擊網路服務時所產生的Log樣式,簡稱為惡意樣式。

一旦所監控的Log檔案中發現有預先定義的惡意樣式出現(例如通知管理者或封鎖該來源IP等動作),就執行相關動作來幫助系統管理者;而在有潛在的危機出現時,例如有人正對自身系統進行暴力攻擊等行為,即能自動啟動相關動作的處理。

本文所介紹的fail2ban(官方網址為www.fail2ban.org)就是類似的軟體,提供多種網路服務的惡意樣式,當所監控的Log檔案發現了預先定義的惡意樣式,就立即自動執行預先所設定的動作,以期達到自動發現惡意的行為並自動進行處理的功能。

簡介fail2ban

fail2ban是一種利用Python語言所撰寫而成的主機型入侵偵測系統(HIDS),它利用即時監控主機系統上Log檔案的方式,根據所設定的惡意樣式來比對所監控的主機Log檔案內容是否有符合所設定的惡意樣式。

如果在一定的時間區間內(例如5分鐘內),同樣的一個來源IP符合所設定的惡意樣式超過所設定的門檻值(例如3次),即判定該來源IP為一惡意的IP,並且自動觸發相關的動作(Action),例如可呼叫iptables來暫時封鎖該來源IP或者寄發電子郵件通知管理者。

fail2ban的主要功能如下所述:

·支援大量的網路服務:fail2ban可偵測包括sshd、apache、qmail、proftpd等常見的網路服務所提供的Log檔案。

·支援多樣化的動作:提供iptables(知名的防火牆軟體)、shorewall(iptables第三方工具)、電子郵件通知。

安裝fail2ban

安裝fail2ban之前,系統必須先安裝Gamin軟體(一種自動監控檔案內容變化的工具),使用指令「yum install gamin*」安裝即可。

接下來,至fail2ban官方網址下載原始碼(在此使用的版本是0.8.14)。解壓縮後,利用指令「setup.py install」即可自動安裝。

成功安裝fail2ban之後,便會產生如下的主執行檔(主要利用fail2ban-client來控制fail2ban的運作):

·fail2ban-client:客戶端軟體,使用者可利用此執行檔,啟動或關閉fail2ban服務。也可以利用「-h」參數來取得更詳盡的執行參數。

·fail2ban-server:fail2ban主要服務的執行檔。

值得注意的是,fail2ban會將組態檔預設存放在「/etc/fail2ban/」目錄下,其中有兩個子目錄需要留意。「/etc/fail2ban/filter.d/」目錄下放的是各種網路服務所定義的惡意樣式資訊。

若讀取該目錄下的各檔案內容,會發現都是相關的正規表示法資訊。而「/etc/fail2ban/action.d/」目錄下存放的是當偵測到惡意攻擊時所要採取的行動,如果讀取該目錄下的各檔案內容,將發現都是相關的指令執行資訊。

fail2ban主要的組態檔有兩個,以下詳細加以說明。

fail2ban.conf

fail2ban.conf是主要的組態檔,主要是用來設定fail2ban執行時的一些預設組態,fail2ban.conf的結構如下所述(#之後為注解),而其相關組態說明如表1所示。

表1 fail2ban.conf相關組態


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!