Uma alternativa ao fail2ban com um painel para todos os seus servidores

O que o fail2ban faz bem

O fail2ban protege servidores SSH há muitos anos. É pequeno, empacotado por todas as distribuições e fácil de entender: uma jail observa um log, um filtro reconhece as falhas, uma ação bane o endereço. Se a sua aplicação escreve um log num formato próprio, você escreve um filtro e o fail2ban passa a protegê-la também. Nada sai do servidor e não há conta para criar.

Como acrescentar um painel ao fail2ban

Com alguns servidores, a pergunta logo vira: o que foi banido onde, e por quê? O fail2ban responde um servidor de cada vez, com o fail2ban-client.

Interfaces auto-hospedadas preenchem essa lacuna. O Fail2Ban UI, um projeto de código aberto sob a AGPL-3.0, gerencia o fail2ban em vários hosts a partir de uma única tela, com busca, desbanimento, edição de jails e alertas. Ele não substitui o fail2ban: conecta-se a cada instância por SSH, por meio de um agente próprio ou localmente. Você mesmo o roda, como contêiner ou serviço systemd, o mantém fora da internet pública atrás de um proxy reverso ou VPN e dá a ele uma conta de serviço com permissões de sudo em cada host.

Isso funciona bem se você quer tudo na sua própria infraestrutura. Se você prefere não rodar e proteger mais um serviço, o painel do InfraFence é hospedado, e cada servidor precisa apenas do agente.

O que o InfraFence acrescenta além dos logs de SSH

A força bruta é o ataque mais barulhento, não o mais perigoso. O InfraFence cobre esse ataque e depois vai além:

• Um firewall web que dá a cada visitante uma pontuação de risco a partir dos logs do servidor web: primeiro desacelerado, depois bloqueado, depois banido.
• Gestão de bots: cerca de 1.500 bots reconhecidos, e bots falsos de buscadores desmascarados.
• Detecção de saída e DNS: cada consulta DNS ligada ao programa, ao ID do processo e ao usuário que a fez, para que um servidor comprometido entrando em contato com quem o controla se destaque.
• Um scanner de malware e monitoramento de integridade de arquivos do sistema, cron, unidades systemd e chaves SSH.
• Pontuação de risco das sessões SSH: quem estava logado quando outra coisa disparou.
• Verificações de hardening com correções que são verificadas depois da alteração e desfeitas se o SSH ou um site monitorado parar de responder.

Usar o fail2ban e o InfraFence juntos

Eles são compatíveis: os dois apenas descartam tráfego. O InfraFence mantém as suas regras nas próprias cadeias INFRAFENCE e não mexe nas cadeias do fail2ban. Se um atacante de SSH for banido pelos dois, nada quebra; o endereço simplesmente fica bloqueado duas vezes.

Uma divisão comum é manter as jails do fail2ban para os logs de aplicações próprias que só você sabe interpretar, e deixar o InfraFence cuidar de SSH, e-mail, bancos de dados, FTP e web, com uma única visão de todos os servidores.

Adicionar o InfraFence ao lado do fail2ban

O fail2ban continua rodando enquanto você testa. Uma verificação somente leitura roda antes de qualquer instalação.

1. 01

   Crie o token de instalação

   No painel, abra Servidores › Adicionar servidor. O token vale para uma única instalação e expira depois de uma hora.

2. 02

   Instale o agente como root

   A verificação informa que o fail2ban está ativo e é compatível. As suas jails não são alteradas.

   curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>

   Copiar
3. 03

   Compare no modo monitor

   O modo monitor detecta tudo e não bloqueia nada. Compare o que o InfraFence relata com o que o fail2ban bane:

   fail2ban-client status sshd

   Copiar
4. 04

   Decida quais jails manter

   Mantenha as jails para os logs das suas próprias aplicações. Se quiser, desative as que o InfraFence agora cobre, como a sshd, e reinicie o fail2ban.