Vor einiger Zeit habe ich eine Beitrag verfasst wie man ownCloud mit Fail2Ban absichern und WordPress mit Fail2Ban absichern kann nun möchte ich zeigen wie man das selbe mit LiveConfig macht.
LiveConfig hinterlegt jegliche Manipulationen am System in einer Log Datei die unter /var/log/liveconfig/liveconfig.log zu finden ist.
Wen sich nun jemand mit einem falschen Benutzer oder Passwort einloggt erscheint folgendes in der Log Datei:
[2016/09/20 11:46:42.375976] [27192|27198] Login failed - invalid/unknown user 'testuser'. Service='Web login', IP='...' [2016/09/20 11:48:45.821841] [27192|27198] Login failed - email='test@onesystems.ch', IP='...'
Genau das nehmen wir uns zu Hilfe und fügen Fail2Ban einen weiteren Filter hinzu der die Log Datei darauf überprüft.
Erstellen der Filterdatei und Konfiguration in Fail2Ban
Erstellen der Datei /etc/fail2ban/filter.d/liveconfig.conf mit folgenden Inhalt:
[Definition] failregex = Login failed - .*, IP='' ignoreregex =
Und in der Datei /etc/fail2ban/jail.conf folgendes hinzufügen:
[liveconfig] enabled = true filter = liveconfig logpath = /var/log/liveconfig/liveconfig.log maxretry = 5
Neue Regeln für Fail2Ban testen
Welches natürlich nur geht, wenn man sich mal falsch anmeldet, sonst kann nichts gefunden werden.
root@onesystems.test:/# fail2ban-regex /var/log/liveconfig/liveconfig.log /etc/fail2ban/filter.d/liveconfig.conf Running tests ============= Use failregex filter file : liveconfig, basedir: /etc/fail2ban Use log file : /var/log/liveconfig/liveconfig.log Use encoding : UTF-8 Results ======= Failregex: 1676 total |- #) [# of hits] regular expression | 1) [1676] Login failed - .*, IP='' `- Ignoreregex: 0 total Date template hits: |- [# of hits] date format | [14521] Year(?P<_sep>[-/.])Month(?P=_sep)Day 24hour:Minute:Second(?:,Microseconds)? `- Lines: 132 lines, 0 ignored, 5 matched, 127 missed [processed in 0.17 sec]
Die Regeln funktionieren. Der Service/Daemon Fail2ban kann neu gestartet werden:
root@onesystems.test:/# systemctl restart fail2ban
In der liveconfig.log im failregex hat sich ein Fehler eingeschlichen.
Richtig lautet : failregex = Login failed – .*, IP=“
Hallo Codexer steht für die Client IP-Adresse, das siehst du auch wen du dir andere Filter anschaust…
Warum sollte der failregex den deiner Meinung nach falsch sein?
Der Platzhalter
Bekommst du den eine Fehlermeldung?
Was kommt bei dir den wen du dich falsch an LiveConfig anmeldest und dann den Regex mit fail2ban-regex ausprobierst?
fail2ban-regex /var/log/liveconfig/liveconfig.log /etc/fail2ban/filter.d/liveconfig.conf
Grüsse
Michael Kleger
Gibt es hierzu ne Updated version?
Was genau fehlt dir den?
Alles, scheinbar läuft das nicht in der neuen Version von Liveconfig nicht.
ich hab es nach dieser Anleitung eingerichtet, jedoch werden keine „Funde“ gemacht.
Liveconfig wird geladen aber es wird Trotz Absichtlichen Falschlogin nichts gefunden oder gebannt.
Das is nen bischen schade.