Eine fail2ban-Alternative mit einem Dashboard für alle deine Server

Was fail2ban gut macht

fail2ban schützt SSH-Server seit vielen Jahren. Es ist klein, in jeder Distribution als Paket verfügbar und leicht zu durchschauen: Ein Jail beobachtet ein Log, ein Filter erkennt die Fehlversuche, eine Action sperrt die Adresse. Schreibt deine Anwendung ein Log in einem eigenen Format, schreibst du einen Filter, und fail2ban schützt auch sie. Nichts verlässt den Server, und du musst kein Konto anlegen.

fail2ban ein Dashboard geben

Schon bei einer Handvoll Servern lautet die Frage bald: Was wurde wo gesperrt, und warum? fail2ban beantwortet sie Server für Server, mit fail2ban-client.

Selbst gehostete Oberflächen schließen diese Lücke. Fail2Ban UI, ein Open-Source-Projekt unter der AGPL-3.0, verwaltet fail2ban auf mehreren Hosts von einer Oberfläche aus, mit Suche, Entsperren, Bearbeiten von Jails und Warnungen. Es ersetzt fail2ban nicht: Es verbindet sich mit jeder Instanz über SSH, über einen eigenen Agenten oder lokal. Du betreibst es selbst, als Container oder systemd-Dienst, hältst es hinter einem Reverse Proxy oder VPN vom öffentlichen Internet fern und gibst ihm auf jedem Host ein Dienstkonto mit sudo-Rechten.

Das passt gut, wenn alles auf deiner eigenen Infrastruktur laufen soll. Wenn du lieber keinen weiteren Dienst betreiben und absichern willst: Das Dashboard von InfraFence ist gehostet, und jeder Server braucht nur den Agenten.

Was InfraFence über SSH-Logs hinaus ergänzt

Brute-Force ist der lauteste Angriff, nicht der gefährlichste. InfraFence deckt ihn ab und schaut dann weiter:

• Eine Web-Firewall, die jedem Besucher aus den Logs des Webservers einen Risikowert gibt: erst gedrosselt, dann blockiert, dann gesperrt.
• Bot-Verwaltung: rund 1.500 Bots erkannt, gefälschte Suchmaschinen-Bots entlarvt.
• Erkennung von ausgehendem Verkehr und DNS: Jede DNS-Anfrage wird dem Programm, der Prozess-ID und dem Benutzer zugeordnet, die sie gestellt haben, sodass ein kompromittierter Server auffällt, der Kontakt zu seinen Angreifern aufnimmt.
• Ein Malware-Scanner und Integritätsüberwachung von Systemdateien, Cron, systemd-Units und SSH-Schlüsseln.
• Risikobewertung von SSH-Sitzungen: wer angemeldet war, als etwas anderes anschlug.
• Härtungsprüfungen mit Korrekturen, die nach der Änderung geprüft und zurückgenommen werden, wenn SSH oder eine überwachte Website nicht mehr antwortet.

fail2ban und InfraFence zusammen betreiben

Die beiden vertragen sich: Beide verwerfen nur Verkehr. InfraFence hält seine Regeln in eigenen INFRAFENCE-Chains und rührt die Chains von fail2ban nicht an. Wird ein SSH-Angreifer von beiden gesperrt, geht nichts kaputt; die Adresse ist einfach doppelt blockiert.

Eine übliche Aufteilung: fail2ban-Jails für eigene Anwendungslogs behalten, die nur du zu lesen weißt, und InfraFence SSH, E-Mail, Datenbanken, FTP und das Web überlassen, mit einem Überblick über alle Server.

InfraFence neben fail2ban hinzufügen

fail2ban läuft weiter, während du es ausprobierst. Bevor etwas installiert wird, läuft eine rein lesende Prüfung.

1. 01

   Installations-Token erzeugen

   Öffne im Dashboard Server › Server hinzufügen. Das Token gilt einmal und läuft nach einer Stunde ab.

2. 02

   Den Agenten als root installieren

   Die Prüfung meldet fail2ban als aktiv und kompatibel. Deine Jails werden nicht verändert.

   curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>

   Kopieren
3. 03

   Im Überwachungsmodus vergleichen

   Der Überwachungsmodus erkennt alles und blockiert nichts. Vergleiche, was InfraFence meldet, mit dem, was fail2ban sperrt:

   fail2ban-client status sshd

   Kopieren
4. 04

   Entscheiden, welche Jails bleiben

   Behalte die Jails für deine eigenen Anwendungslogs. Wenn du willst, schalte die ab, die InfraFence jetzt abdeckt, etwa sshd, und starte fail2ban neu.