Una alternativa a fail2ban con un panel para todos tus servidores

Lo que fail2ban hace bien

fail2ban lleva muchos años protegiendo servidores SSH. Es pequeño, todas las distribuciones lo empaquetan y es fácil entender cómo funciona: una jail vigila un log, un filtro reconoce los fallos y una acción banea la dirección. Si tu aplicación escribe un log con su propio formato, escribes un filtro y fail2ban también la protege. Nada sale del servidor y no hay que crear ninguna cuenta.

Añadir un panel a fail2ban

Con unos cuantos servidores, la pregunta aparece enseguida: ¿qué se ha baneado, dónde y por qué? fail2ban responde servidor a servidor, con fail2ban-client.

Las interfaces autoalojadas cubren ese hueco. Fail2Ban UI, un proyecto de código abierto con licencia AGPL-3.0, gestiona fail2ban en varios hosts desde una sola pantalla, con búsqueda, desbaneo, edición de jails y alertas. No sustituye a fail2ban: se conecta a cada instancia por SSH, mediante su propio agente o en local. Lo ejecutas tú, como contenedor o como servicio systemd, lo mantienes fuera de internet detrás de un proxy inverso o una VPN, y le das una cuenta de servicio con permisos sudo en cada host.

Encaja bien si quieres tenerlo todo en tu propia infraestructura. Si prefieres no mantener y proteger un servicio más, el panel de InfraFence está alojado y cada servidor solo necesita el agente.

Lo que añade InfraFence más allá de los logs de SSH

La fuerza bruta es el ataque más ruidoso, no el más peligroso. InfraFence lo cubre y después mira más allá:

• Un firewall web que da a cada visitante una puntuación de riesgo a partir de los logs del servidor web: se le frena, luego se le bloquea y después se le banea.
• Gestión de bots: unos 1.500 bots reconocidos y los falsos bots de buscadores desenmascarados.
• Detección saliente y DNS: cada consulta DNS vinculada al programa, al PID y al usuario que la hizo, de modo que un servidor comprometido que contacta con quien lo controla salta a la vista.
• Un escáner de malware y vigilancia de la integridad de los archivos del sistema, cron, unidades systemd y claves SSH.
• Puntuación de riesgo de las sesiones SSH: quién estaba conectado cuando saltó otra alerta.
• Comprobaciones de hardening con correcciones que se verifican tras el cambio y se revierten si SSH o un sitio monitorizado dejan de responder.

Usar fail2ban e InfraFence a la vez

Son compatibles: los dos se limitan a descartar tráfico. InfraFence guarda sus reglas en sus propias cadenas INFRAFENCE y no toca las cadenas de fail2ban. Si los dos banean a un atacante de SSH, no se rompe nada; la dirección simplemente queda bloqueada dos veces.

Un reparto habitual es mantener las jails de fail2ban para los logs de aplicaciones propias que solo tú sabes interpretar, y dejar que InfraFence se encargue de SSH, el correo, las bases de datos, el FTP y la web, con una sola vista de todos los servidores.

Añadir InfraFence junto a fail2ban

fail2ban sigue funcionando mientras lo pruebas. Antes de instalar nada se ejecuta una comprobación de solo lectura.

1. 01

   Crea el token de instalación

   En el panel, abre Servidores › Añadir servidor. El token sirve una sola vez y caduca al cabo de una hora.

2. 02

   Instala el agente como root

   La comprobación indica que fail2ban está activo y es compatible. Tus jails no se modifican.

   curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>

   Copiar
3. 03

   Compara en modo monitor

   El modo monitor lo detecta todo y no bloquea nada. Compara lo que señala InfraFence con lo que banea fail2ban:

   fail2ban-client status sshd

   Copiar
4. 04

   Decide qué jails mantener

   Mantén las jails de los logs de tus propias aplicaciones. Si quieres, desactiva las que ahora cubre InfraFence, como sshd, y reinicia fail2ban.