Utilizzo di Fail2ban per bloccare accessi ISPConfig errati

Utilizzo di Fail2ban per bloccare accessi ISPConfig errati

Prima di tutto:se non sei paranoico, questo non ti serve. ISPConfig fa un ottimo lavoro per bloccare tutti gli accessi utente che falliscono più di cinque volte al minuto.

D'altra parte, POTREBBE voler essere in grado di perfezionarlo un po'.

In questo tutorial, scriveremo un plug-in ISPConfig per registrare gli accessi non riusciti a syslog, filtreremo tali voci utilizzando rsyslogd e aggiungeremo una regola fail2ban per bloccare gli IP degli utenti malintenzionati.

Ancora una volta:non avremmo nemmeno bisogno di questa parte. Se si imposta Loglevel di ISPConfig su DEBUG, gli accessi non riusciti verrebbero comunque registrati. Ma non vogliamo tutto quell'altro disordine, vero?

Quindi abbiamo bisogno di un plug-in per registrare prima gli accessi non riusciti a syslog:

~ispconfig/interface/lib/plugins/login_fail2ban_plugin.inc.php

class login_fail2ban_plugin { 
        var $plugin_name = 'login_fail2ban_plugin'; 
        var $class_name  = 'login_fail2ban_plugin'; 

        function onLoad() { 
                global $app; 
                $app->plugin->registerEvent('login_failed',$this->plugin_name,'log_fail'); 
        } 

        function log_fail($event_name,$data) { 
                openlog("ispconfig", LOG_PID | LOG_PERROR, LOG_LOCAL0); 
                syslog(LOG_WARNING, "Login failed for user ".$_POST['username']." on IP ".$_SERVER['REMOTE_ADDR']); 
        } 

}

ISPConfig ha uno strano modo per memorizzare nella cache i suoi plug-in, quindi potresti voler svuotare la cache del browser per il tuo dominio ora.

Ora, non lo vogliamo in /var/log/syslog. Se il tuo server è affollato, ci sarà una registrazione massiccia lì e fail2ban non ha bisogno di filtrare tutte quelle schifezze.

Usiamo rsyslogd per questo:

/etc/rsyslog.d/12-ispconfig.conf

if $programname == 'ispconfig' then /var/log/ispconfig.log

Ora riavvia rsyslog
 

service rsyslog restart

Crea una regola di filtro fail2ban:

/etc/fail2ban/filter.d/ispconfig.conf

[Definition]
failregex = (.*) Login failed for user (.*) on IP <HOST>
ignoreregex =

Provalo (dovresti provare ad accedere con un nome utente/password falsi affinché questo mostri qualcosa).

fail2ban-regex /var/log/ispconfig.log /etc/fail2ban/filter.d/ispconfig.conf

e aggiungi una jail al tuo /etc/fail2ban/jail.conf:

[ispconfig]
enabled  = true
port     = http,https
filter   = ispconfig
logpath  = /var/log/ispconfig.log

Riavvia fail2ban e il gioco è fatto.

service fail2ban restart

Buon divertimento!