Fail2Ban : ervaringen?

[IT-worX]

Beste wht'ers

Sinds ik gisteren DirectAdmin opnieuw heb geïnstalleerd krijg ik de ene melding achter de andere melding binnen in verband met "brute force attacks". Op mijn freepbx vps krijg ik daar ook netjes een mailtje van via de fail2ban software, waarna het IP na x pogingen voor y tijd in de firewall (iptables) komt.

Dergelijke meldingen krijg ik nu continue:

A brute force attack has been detected in one of your service logs.

User test@xxxxxx.be has 118 failed login attempts: exim2=118

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

A brute force attack has been detected in one of your service logs.

IP 60.250.124.123 has 291 failed login attempts: exim2=291
User yyyyy has 236 failed login attempts: exim2=236

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

A brute force attack has been detected in one of your service logs.

User test@xxxxx.be has 100 failed login attempts: exim2=100

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

A brute force attack has been detected in one of your service logs.

IP 60.250.124.123 has 109 failed login attempts: exim2=109
User yyyyy has 109 failed login attempts: exim2=109

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

Mail van fail2ban

Hi,

The IP 220.231.194.109 has just been banned by Fail2Ban after
6 attempts against SSH.

Here are more information about 220.231.194.109:

Regards,
Fail2Ban

Hoe is jullie ervaring met fail2ban tegen brute force attacks? Werkt dit goed/effectief en kan je dit makkelijk/snel uitrollen op een aantal vps'en tegelijk? Vooral die mail vind ik wel handig om alles verder in het oog te blijven houden.

Kris

[drex]

Onze ervaringen met Fail2ban zijn zeer zeker goed en gebruiken dit op alle servers en VPS'en.........

[systemdeveloper]

Ik zou zeker eens kijken naar CSF / LFD.

Edit: overigens heb je dan ook direct een handige security check bij om redelijk snel iets van basis beveilig te hebben.
Daarnaast kun je heel eenvoudig csf clusteren over verschillende vpssen en zodoende een block op server A direct door te voeren op B, C, D, ...

[IT-worX]

Dat laatste klinkt zeker interessant en de moeite waard om verder te bekijken!
CSF/LFD is waar ik (volgens mij) op dit moment de mails van krijg (directadmin)?

[systemdeveloper]

Dat laatste klinkt zeker interessant en de moeite waard om verder te bekijken!
CSF/LFD is waar ik (volgens mij) op dit moment de mails van krijg (directadmin)?

Nee, dat is de brute force scanner van da. Die doet verder niks buiten het rapporteren.
CSF vind je hier: http://configserver.com/cp/csf.html
downloaden en
cd /tmp
wget http://configserver.com/free/csf.tgz
tar -xzvf csf.tgz
cd csf
./install.directadmin.sh

Overigens kun je ook een paar scriptjes toevoegen in /usr/local/directadmin/scripts/custom om b.v. bij elke melding van een brute-force, automatisch het ip te blokken.
Voorbeelden daarvan kun je op de directadmin site vinden in het forum.

[CT0]

Ik zou je ook eerder CSF aanraden dan Fail2Ban, omdat CSF veel meer filtert dan Fail2Ban. Integratie met DirectAdmin is ook erg goed.

[NixDevs.com]

Wij doen eigenlijk eerlijk gezegd nooit wat met fail2ban. Pruts systeem.
CSF, OSSEC zijn toch wel een stuk beter.

[Marin]

Wij gebruiken Denyhosts werkt op zich ook prima. Echter Denyhosts is alleen voor SSH. Fail2Ban doet meer services. CSF is inderdaad wel de beste. zeker i.s.m DA

[bibawa]

CSF is zeer mooi, jammer dat het niet voor Plesk bestaat ..

[FredL]

Wij hebben geen ervaringen met Fail2ban, ook wij gebruiken CSF wat prima bevalt.

[Mark17]

Fail2ban icm Asterisk en een lading eigen scripts om IPtables te vullen voor de rest. Mogelijk dat ik die nog ga vervangen door CSF als CSF een mooie optie heeft om enkel een centrale database te updaten per "foute" en "goede" login en dan vervolgens andere scripts die op basis daarvan beslissingen nemen om centrale firewalls bij te werken.

[websiteondemand]

Wij hebben iedere Plesk bak achter een full inspecting firewall staan, welke ook requests op bekende attacks filtert. SSH vangen we af op Plesk door denyhosts en we hebben nog wat meer maatregelen geloof ik op verschillende niveaus.

CSF draaien we voor zaken die (nog) niet fijn achter de firewall (NAT) gaan, zoals wat CPanel-installaties.

[Apoc]

Ik zou je ook eerder CSF aanraden dan Fail2Ban, omdat CSF veel meer filtert dan Fail2Ban. Integratie met DirectAdmin is ook erg goed.

Je bedoelt waarschijnlijk LFD. CSF is namelijk enkel een firewall (met LFD als uitbreiding daarop).

CSF is zeer mooi, jammer dat het niet voor Plesk bestaat ..

CSF werkt prima met Plesk.. of bedoel je een integratie in de GUI?

Persoonlijk ben ik niet zo'n fan van LFD. Het is niet real-time (het draait d.m.v. een cronjob), waardoor het vaak als mosterd na de maaltijd komt. Fail2ban is wat dat betreft beter - mits je het goed configureert (en dat is wat meer werk dan de 'plug&play' van CSF/LFD - maargoed, als je een goede oplossing wilt, zul je daar simpelweg wat tijd in moeten stoppen). Maar als je echt een goede oplossing wilt, kun je beter naar een IPS kijken.

[bibawa]

IK doel inderdaad op de integratie met de GUI