fail2ban

fail2ban官方版是款针对系统所打造的主动防御安全工具。fail2ban正式版可以支持对系统的日志进行快速的查看，可自动的帮助用户匹配日志的错误信息等。并且fail2ban还支持多种动作。如iptables,tcp-wrapper,shorewall(iptables第三方工具),mail notifications(邮件通知)等等。

fail2ban软件功能

      1、支持大量服务。如sshd,apache,qmail,proftpd,sasl等等

      2、支持多种动作。如iptables,tcp-wrapper,shorewall(iptables第三方工具),mail notifications(邮件通知)等等。

      3、在logpath选项中支持通配符

      4、需要Gamin支持(注：Gamin是用于监视文件和目录是否更改的服务工具)

      5、需要安装python,iptables,tcp-wrapper,shorewall,Gamin。如果想要发邮件，那必需安装postfix/sendmail

fail2ban软件特色

      客户机/服务器体系结构。

      多线程。

      高度可配置的使用把配置文件

      野孩/ Pyinotify支持。

      解析日志文件和寻找给定的模式。

      执行命令(s),当检测到一个模式为同一IP地址X倍禁止该地址。X可以改变。

      在给定的时间之后,执行另一个命令以准许IP地址。

      使用默认Netfilter / Iptables,但还可以使用TCP包装器(/ etc / hosts.deny)和许多其他防火墙/动作。

      旋转处理日志文件。

      可以一次处理多个服务(sshd,apache,vsftpd等等)。

      解析DNS主机名的IP地址(小心使用,禁用常= no)。

fail2ban使用方法

      //下载rpmforge (里面有大量最新的rpm包)

      # wget URL< 此URL请用扩展阅读中的地址替换>

      //安装rpmforge

      # rpm -ivh rpmforge-release-0.3.6-1.el5.rf.i386.rpm

      //用yum安装fail2ban

      # yum install fail2ban

      安装完成后，fail2ban 的设定档在这里

      # /etc/fail2ban

      fail2ban.conf 日志设定文档

      jail.conf 阻挡设定文档

      /etc/fail2ban/filter.d 具体阻挡内容设定目录

      默认fail2ban.conf里面就三个参数，而且都有注释。

      -------------------------------

      #默认日志的级别

      loglevel = 3

      #日志的目的

      logt*arget = /var/log/fail2ban.log

      #socket的位置

      socket = /tmp/fail2ban.sock

      -------------------------------

      jail.conf配置里是fail2ban所保护的具体服务的配置，这里以SSH来讲。

      在jail.conf里有一个[DEFAULT]段，在这个段下的参数是全局参数，可以被其它段所覆盖。

      -------------------------------

      #忽略IP,在这个清单里的IP不会被屏蔽

      ignoreip = 127.0.0.1 172.13.14.15

      #屏蔽时间

      bantime = 600

      #发现时间，在此期间内重试超过规定次数，会激活fail2ban

      findtime = 600

      #尝试次数

      maxretry = 3

      #日志修改检测机制

      backend = auto

      [ssh-iptables]

      #激活

      enabled = true

      #filter的名字，在filter.d目录下

      filter = sshd

      #所采用的工作，按照名字可在action.d目录下找到

      action = iptables[name=SSH, port=ssh, protocol=tcp]

      mail-whois[name=SSH, dest=root]

      #目的分析日志

      logpath = /var/log/secure

      #覆盖全局重试次数

      maxretry = 5

      #覆盖全局屏蔽时间

      bantime = 3600

      -------------------------------

      对jail.conf进行一定的设置后，就可以使用fail2ban了。

      //启动fail2ban

      # service fail2ban start

      启动之后，只要符合filter所定义的正则式规则的日志项出现，就会执行相应的action。

      1.修正了其它bug；

      2.优化了软件的兼容性。