web-dev-qa-db-ja.com

fail2banが検出されたが禁止されていないのはなぜですか

Ubuntu Xenialサーバーに不思議なことに気づきました。
デフォルトポートにSSHがあり、fail2banがあります。
Fail2banはサーバーでブルートフォース攻撃を検出しており、それに応じてログに記録されます：

2017-01-12 10:58:19,927 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:03:27,808 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:08:37,936 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:13:51,538 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:18:57,939 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:24:10,399 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:29:23,161 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:34:34,064 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x
2017-01-12 11:39:44,540 fail2ban.filter    [23119]: INFO    [sshd] Found x.x.x.x

x.x.x.xはすべてのインスタンスで同じIPであり、auth.logに示されているように、この男はランダムなユーザー名をフィッシングしているだけです。

Jan 12 12:05:46 MYSERVER sshd[23579]: Invalid user journalist from x.x.x.x
Jan 12 12:05:46 MYSERVER sshd[23579]: input_userauth_request: invalid user journalist [preauth]
Jan 12 12:05:46 MYSERVER sshd[23579]: Received disconnect from x.x.x.x port 47995:11: Normal Shutdown, Thank you for playing [preauth]
Jan 12 12:05:46 MYSERVER sshd[23579]: Disconnected from x.x.x.x port 47995 [preauth]

Fail2banはそれらを確認し、 "Found"としてリストしますが、禁止はしていません。何か案は？

編集：

cat /etc/fail2ban/jail.d/myjails.local
[Apache-auth]
enabled = true

[sshd-ddos]
enabled = true

[recidive]
enabled = true

[dovecot]
enabled = true

[postfix]
enabled=true

残りの設定ファイルは、Ubuntuの正気なデフォルトに従ってそのまま残されます。つまり、/etc/fail2ban/jail.confは次のようになります。

[sshd]

port    = ssh
logpath = %(sshd_log)s


[sshd-ddos]
# This jail corresponds to the standard configuration in Fail2ban.
# The mail-whois action send a notification e-mail with a whois request
# in the body.
port    = ssh
logpath = %(sshd_log)s

そして私たちは持っています：

cat /etc/fail2ban/jail.d/defaults-debian.conf
[sshd]
enabled = true
ubuntusshsecurityfail2banphishing
6
Waleed Hamra

Fail2banは当然のようですnot誰も禁止しません-提供されたログには、Ubuntu xenialがfail2banに同梱されているデフォルトの制限を超える人は表示されません。

/etc/fail2ban/jail.conf、 の中に [DEFAULT]セクションには、パラメータfindtime（デフォルト600 秒、つまり10分）とmaxretry（デフォルト5 times、その中にありますウィンドウを見つける）。つまり、1時間に数個のパスワードを試行しているだけでは、そのパスワードはトリガーされません。

このファイルを変更する必要はないことに注意してください（完全にアップグレードできるようにするには、変更しないでください）。 [DEFAULT]ブロックを/etc/fail2ban/jail.d/myjails.local、 同じように：

[DEFAULT]
findtime = 3600
bantime = 3600
maxretry = 4
  • ファイルの先頭を調べますjail.conf実際には、その方法と理由についてのヒントがいくつかあります。
  • 自分をロックアウトしないでください。
  • あなたのパスワードは十分強力でなければならず、100万年もの間何も見つけることなく、1時間に2つのパスワードを試す2人の人々がいることを簡単に知ることができます。
5
anx