Warning: mysqli_query(): (HY000/3): Error writing file '/tmp/MYgX2rzy' (Errcode: 28 - No space left on device) in /usr/share/nginx/html/syslogs/wp-includes/class-wpdb.php on line 2349

Sunucunuzda, internet üzerinden direk erişilebilir ve güvenliği sadece şifre ile sağlanan servisleriniz varsa, log dosyalarınızda birilerinin şifre deneme yöntemi ile ilgili servis üzerinde yetki elde etme teşebbüslerini tespit edebilirsiniz. Örnek olarak sunucunuzdaki SSH servisi default (22.) porttan çalışıyor ve herhangi bir erişim kontrol mekanizması (firewall vs.) kullanmıyorsanız bu durumla bol bol karşılaşmanız kaçınılmazdır. (ve umarım güçlü bir şifre kullanıyorsunuzdur.)

Ancak sunucunuza herhangi bir nedenle erişim kontrolü uygulayamıyorsanız ve gerçekten de ilgili servislere (örneğin ssh) herhangi bir yerden erişilmesi gerekiyorsa en azından fail2ban kullanabilir ve sunucunuzun brut force attack ile ele geçirilme riskini minimize edebilirsiniz. Fail2ban, sunucunuzun log dosyalarını takip ederek, sizin belirlediginiz bir sayının üzerinde başarısız login girişimininde bulunan birinin IP adresini gene sizin belirlediğiniz bir süre boyunca reject etmeye yarayan güzel bir python uygulamasıdır.

Bu yazıda, Iptables ya da tcpwrapper (hosts.deny) kullanarak sshd, vsftpd, proftpd, apache, lighttpd gibi uygulamalar için başarısız login denemelerinde (ya da sizin belirlediğiniz herhangi bir aksiyonda) ilgili aktivitenin kaynak ip'sini belirli bir süre banlamak için kullanılan bu güzel uygulamanın kurulumu, yapılandırması ve özelleştirilmesinden bahsedeceğim.

Fail2ban Nedir ?

---

Yukarıda kısaca değindiğim gibi fail2ban belirli servislere ait log dosyalarını takip ederek başarısız login girişimlerini tespit eder ve bu denemeler belirli bir sayıya ulaştığı zaman ilgili aktivitenin kaynak IP'si için Iptables'a bir drop kuralı ekler. Sisteminizde iptables yoksa ya da iptables kullanmak istemiyorsanız aynı şeyi tcpwrapper ile de yapabilir ve ilgili IP adresini hosts.deny dosyasına ekler. Ancak bu durum sadece tcpwrapper kullanan (örn: sshd) servisler için geçerlidir. Mesela apache tcpwrapper kullanmaz bu nedenle apache için iptables kullanmanız gerekir.

Fail2ban ile reject edilen IP adresleri için öntanımlı olarak 5 dakikalık bir ban süresi bulunmaktadır. Ban süresi dolan IP adresleri için girilen drop kuralları (ya da hosts.deny girdileri) sistemden kaldırılır. Sonuç olarak ban durumu kalıcı değildir ve süre sonunda ilgili IP adresleri tekrardan erişim sağlayabilirler.

Bunun yanı sıra, Fail2ban, banlanan ipleri mail yolu ile raporlayabilir; böylece sunucudaki aktivite ile ilgili bilgi edinebilirsiniz.

Bu kısa bilgilendirmeden sonra kurulum ve yapılandırma kısmına geçebiliriz.

Fail2Ban Kurulumu

---

Fail2ban tüm linux dağıtımlarda ve FreeBSD gibi BSD tabanlı sistemlerde (netfilter ya da ipfirewall ile) kullanılabilmektedir ve hemen her *nix dağıtımı için precompiled paketi bulunmaktadır;  yani sisteminize ait paket yöneticisini kullanarak kurmanız mümkündür.

Ancak ben (yazının başlığında da geçtiği gibi) Fail2ban'ın centos üzerine kurulmasından bahsedeceğim. Ayrıca, fail2ban'ın rpm paketleri rpmforge paket deposunda bulunmasına karşın, sürümü eski olduğundan dolayı kaynak koddan son sürümün yüklenmesinden bahsedeceğim.

Gereksinimler

Fail2ban kurmak için steminizde öncesinde python paketin kurulu olması gerekir. Bu nedenle öncelikle yum kullanarak python yükleyelim.

# yum install python

Bunun dışında, iptables üzerinden ban işlemi yapabilmeniz için sistemde iptables yüklü olmalıdır. Iptables, centos sistemlerde default olarak geldiğinden dolayı kurulumla ilgili ekstradan bir işlem yapmanıza gerek bulunmaz. Ancak iptables devrede olmalıdır. Bu nedenle şimdi iptables servisini (eğer değilse) start edin.

# service iptables start

ve startup'a ekleyin.

# chkconfig iptables on

Python ve iptables konusundan sonra fail2ban kurulumuna geçebilirsiniz. Ancak bu noktada syslog ile fail2ban arasındaki bir uyumsuzluğa dikkat çekmek istiyorum.

Fail2ban ve Syslog Problemi

Fail2ban'ı loglama için syslog kullanan herhangi bir servis (örneğin ssh servisi) için kullanmak isterseniz, syslog'un, aynı içeriğe sahip tekrarlanan mesajları log dosyasına satır satır yazmak yerine  belli bir süre sonra “last message repeated n times” ibaresi düşmesi nedeni ile fail2ban'dan efektif olarak yararlanamayabilirsiniz. Zira fail2ban, reject işlemi yapmak için log dosyasındaki fail satırlarını sayar ve syslog'un bu durumu fail eden login denemelerinin banlanması için belirlediğiniz eşik sayısında sapmaya neden olur. Eğer birisi ard arda süratlice login denemesi yaparsa bu denemeler log doslinyasına “last message repeated n times” şeklinde yazılacağından dolayı banlama işlemi gerçekleşmeyebilir.

FreeBSD gibi sistemlerde syslogd'yi -c parametresi ile çalıştırarak bu durumun önüne geçmek mümkündür ancak centos ve benzeri dağıtımlarda bu özellik bulunmamaktadır. Bu nedenle, sapmayı göze almak ya da syslog yerine rsyslog kullanmak gibi iki seçeneğiniz bulunuyor. Zira rsyslog, syslogda bulunmayan bu özelliği sunmaktadır.

Bu nokta da benim tavsiyem, syslog'un geliştirilmiş versiyonu olduğundan ve kurulumun hemen ardından syslog'un yerini tüm özellikleri ile kolayca aldığından dolayı rsyslog kullanmanızdır. (Ayrıca rsyslog Debian sistemlerde öntanımlı olarak syslog yerine kullanılmaktadır.)

rsyslog kullanmak isterseniz yum kullanarak kolayca kurabilirsiniz. Daha önce rsyslog kurulumu üzerine bir yazı yayınlamıştım. Bkz: http://www.syslogs.org/2009/08/centos-uzerine-rsyslog-kurulumu-ve-yapilandirmasi/ . Yazıda anlatıldığı şekilde kurulumu yaptıktan sonra, tekrarlanan logların teker teker yazması için /etc/rsyslog.conf dosyanıza aşağıdaki parametreyi eklemeniz gerekir.

$RepeatedMsgReduction off

Not: Bu eklemeyi yaptıktan sonra rsyslog servisini yeniden başlatmayı unutmayın.

syslog ya da rsyslog'dan birisine karar verdikten sonra kuruluma geçebilirsiniz.

Kurulum

Deminde bahsettiğim gibi son sürümü kullanabilmek için kurulumu kaynak koddan yapıyorum. Bu nedenle şimdi /usr/local/src/ dizinine geçerek son http://sourceforge.net/projects/fail2ban/files/ adresinden fail2ban'ın son sürümünü download edelim.

(Şu an son sürüm 0.8.4'tür. Siz download etmeden önce kontrol edin.)

# cd /usr/local/src
# http://downloads.sourceforge.net/project/fail2ban/fail2ban-stable/fail2ban-0.8.4/fail2ban-0.8.4.tar.bz2?use_mirror=ignum

Şimdi tar.bz2 dosyasını açıp kurulumu yapmak için fail2ban dizinine geçiyoruz.

# tar xjvf fail2ban-0.8.4.tar.bz2
# cd fail2ban-0.8.4

Kurulum aşağıdaki gibi setup.py scripti üzerinden yapılmaktadır.

# python setup.py install

Yükleme işlemi bittikten sonra fail2ban binary dosyaları /usr/bin dizinine, yapılandırma dosyaları ise /etc/fail2ban dizinine konulur.
Ancak yapılandırmaya başlamadan önce fail2ban'ı sisteme servis olarak ekleyelim.

# cp /usr/local/src/fail2ban-0.8.4/files/redhat-initd /etc/init.d/fail2ban
# chmod 755 /etc/init.d/fail2ban
# chkconfig --add fail2ban
# chkconfig fail2ban on

Şimdi fail2ban'ı start edelim. (Ön tanımlı ayarlarda herhangi bir servis için ban özelliği aktif değildir.)

# service fail2ban start

Herhangi bir sorunla karşılaşmadıysanız şimdi yapılandırma bölümüne geçebilirsiniz.

Fail2ban Yapılandırması

---

Fail2ban'ın ana yapılandırma dosyası sistemde /etc/fail2ban/ dizini altında jail.conf ismi ile bulunur. Düzenlemeleri yapmadan önce dosyanın önemli bölümlerine göz atalım.

Dosyanın default segmesinde bulunan aşağıdaki 4 bölümde genel geçer düzenlemeleri yapabilirsiniz.

ignoreip = Görmezden gelinecek ip'ler. Buraya kendi ip'lerinizi ekleyerek, kendi kendinizi blocklamanın önüne geçebilirsiniz. (CIDR mask kullanılabilir.)

bantime = Bir host'un saniye cinsinden banlı kalacağı süreyi belirtir. Öntanımlı olarak 600 saniye.

findtime = Bir hostun banlanması için saniye cinsinden başarısız login girişiminde bulunma periyodu. Öntanımlı 600 saniye.

maxretry = Bir hostun banlanması için gereken maksimum başarısız login denemesi. Öntanımlı 3

Yukarıdaki bu değerlerin dışında, belli başlı servisler için conf dosyası içinde default tanımlamalar yapılmıştır. Örnek olarak sshd servisi için login denemelerini takip ederek iptables ile banlamak için kullanılan tanım satırları aşağıdaki gibidir.

[ssh-iptables]
enabled  = false
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, [email protected], [email protected]]
logpath  = /var/log/sshd.log
maxretry = 5

Opsiyonlar ve anlamları şunlardır:

enable = SSH servisi için fail2ban'ın devreye alınıp alınmayacağının tanımlandığı bölüm. Öntanımlı olarak “false”dur. Devreye almak için “true” yazmanız gerekir.

filter = Hangi filtrenin kullanılacağı belirtilir. Bu filtreler /etc/fail2ban/filter.d dizininde bulunur. SSH için filtre /etc/fail2ban/filter.d/ssh.conf dosyasıdır ve sshd log dosyası içerisinde aranacak ifadelere ait regex cümlelerini içerir.

action = Banlanması gereken hostlar'la ilgili alınacak aksiyonlar belirlenir. Bu örnekte action iptables'dır. Aksiyon tanımlamaları /etc/fail2ban/action.d dizininde bulunur. Bu örnek için ilgili conf  /etc/fail2ban/action.d/iptables.conf dosyasında tanımlıdır.

sendmail = Ban olaylarını mail yolu ile raporlamak için kullanılan yapılandırma bölümüdür.

logpath = Servise ait log dosyasının tam yolu ve dosya adı.

maxretry = Kaç başarısız login işleminden sonra ban işlemi yapılacağı.

Genel olarak yapılandırma ayarları bunlardır.

Şimdi ssh servisi için önce Iptables sonra da tcpwrapper kullanarak ban işlemi için gerekli düzenlemeleri yapalım.

Fail2ban'ı SSH servisi için Iptables Kullanmak Üzere Yapılandırmak

Bu bölümde yapmanız gereken, conf dosyası içinde yukarıda da  bir örneği görülen [ssh-iptables] segmesini kendi sistemimize göre düzenlemektir:

CentOS sistemler için ayarlar şu şekilde olmalıdır.

[ssh-iptables]
enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, [email protected], [email protected]]
logpath  = /var/log/secure
maxretry = 5

Gördüğünüz gibi enable'ı true yapıp, logpath'i /var/log/secure olarak düzenledik.

Şimdi fail2ban'ı restart edelim.

# service fail2ban restart

Şu an fail2ban ssh için devrede eğer ssh üzerinden 5 kez yanlıış şifre girerseniz 5 dakikalığına banlanırsınız. (syslog kullanmanız durumunda 5 denemeden fazlası gerekebilir.)

Not: Testler sırasında bantime değerini kısa bir süreye çekmek iyi bir fikirdir.

Banlanan ip'ler ile ilgili bilgi /var/log/fail2ban.log dosyasına yazılır. Örnek bir ban ve unban çıktısı şu şekildedir:

2010-01-31 21:00:00,861 fail2ban.actions: WARNING [ssh-iptables] Ban 192.168.12.12
2010-01-31 21:04:09,550 fail2ban.actions: WARNING [ssh-iptables] Unban 192.168.12.12

Ayrıca, iptables kurallarına bakarsanız ilgili ip için eklenen drop kuralını görebilirsiniz.

Chain fail2ban-SSH (1 references)
target     prot opt source               destination
DROP       all  --  192.168.12.12        0.0.0.0/0
RETURN     all  --  0.0.0.0/0            0.0.0.0/0

Aynı işi iptables yerine tcpwrapper ile de yapmak mümkündür.

Fail2ban'ı SSH servisi için Tcpwrapper  Kullanmak Üzere Yapılandırmak

Sisteminizde iptables yok ya da özellikle iptables kullanmak istemiyorsanız fail2ban aynı işi tcpwrapper kullanarak da yapabilir. Bu durumda banlama işlemi için iptables kuralı eklemek yerine banlanacak ip'leri /etc/hosts.deny dosyasına ekler. Sonuç olarak SSH servisi tcpwrapper kullandığı için fail2ban'ı bu şekilde de yapılandırabilirsiniz.

Bunun için öncelikle jail.conf dosyasında [ssh-iptables] segmesindeki enable bölümünü false yapmalısınız. Sonrasında da [ssh-tcpwrapper] bölümünde gerekli düzenlemeleri yapmalısınız. Bu bölüm CentOS'lar da şu şekilde görünmelidir.

[ssh-tcpwrapper]

enabled     = true
filter      = sshd
action      = hostsdeny
              sendmail-whois[name=SSH, dest=[email protected]]
ignoreregex = for myuser from
logpath     = /var/log/secure

Gördüğünüz gibi bu yapılandırmada action olarak hostsdeny kullanılıyor.
Değişikliklerden sonra fail2ban'ı restart edelim.

# service fail2ban restart

Bu ayarlar ile bir deneme yaparsanız ip adresiniz /etc/hosts.deny dosyasına eklendiğini görürsünüz:

ALL: 192.168.12.12

Conf dosyasında diğer bir çok servis için de tanımlama bulunmaktadır. Yukarıdaki örneklere benzer şekilde yapılandırmayı kendinize göre düzenleyebilir ve belirlediğiniz servisler için fail2ban'ı devreye alabilirsiniz.

Ben burada son olarak, conf dosyasında yapılandırması bulunmayan bir konudan bahsetmek istiyorum.

Fail2ban'ı Apache servisi için Iptables Kullanmak Üzere Yapılandırmak

Örnek olarak web sunucunuzda şifre ile korunan bir alan bulunuyor ve bu dizin için şifre denemelerinde ban uygulamasının devreye alınmasını istiyorsunuz.

Bunun için jail.conf dosyanıza şu şekilde bir tanımlama ekleyebilirsiniz.

[httpd-iptables]

enabled  = true
filter   = apache-auth
action   = iptables[name=HTTP, port=http, protocol=tcp]
           sendmail-whois[name=HTTP, [email protected], [email protected]]
logpath  = /var/log/httpd/error_log

maxretry = 3

Not: Apache virtual hostlar için düzenlendiyse log dosyanızın yerini düzgün olarak tanımladığınızdan emin olun.

Bu ayarlar ile şifre ile korunan web alanındaki login denemelerine ait kaynak ip adresleri için Iptables'a bir drop kuralı eklenecektir.
fail2ban.log dosyasında bu durum şu şekilde görüntülenir:

2010-02-01 01:13:57,487 fail2ban.actions: WARNING [httpd-iptables] Ban 192.168.12.12

Ayrıca iptables kuralı da şöyle görünür.

Chain fail2ban-HTTP (1 references)
target     prot opt source               destination
DROP       all  --  192.168.12.12       0.0.0.0/0
RETURN     all  --  0.0.0.0/0            0.0.0.0/0

Fail2ban ile ilgili genel geçer bilgiler bunlardan ibarettir. Yazının muhtelif bölümlerinde de belirttiğim gibi fail2ban'ı başka servisler ile ilgili kullanmak da mümkün. Yapmanız gereken conf dosyası içinde kendi düzenlemelerinizi yapmaktan ibaret. Dosya içerisinde aşağıdaki servislerle ilgili tanımlamalar bulunmaktadır:

sshd, apache, postfix, vsftpd, php-url-fopen, lighttpd-fastcgi, named.

Bunun yanı sıra kendi action ve filter conf dosyalarınızı oluşturarak istediğiniz gibi özelleştirmelerde bulunabilirsiniz.

Detaylı bilgi için bkz:
http://www.fail2ban.org/wiki/index.php/Main_Page