Hướng dẫn cài đặt Fail2ban bảo vệ SSH trên CentOS

168

Nếu bạn có một hệ thống máy chủ VPS/Cloud Server thì hẳn bạn phải thường xuyên sử dụng giao thức SSH (port 22) để quản lý VPS của bạn. Nhưng bạn có biết dịch vụ SSH mặc định có thể mở ra một số lổ hổng rất nguy hiểm để hacker tấn công hay không. Cuộc tấn công thường thấy nhất đó là tấn công kiểu “Brute Force“, dò tìm mật khẩu SSH của user trên VPS/Cloud Server liên tục và tự động hoàn toàn.

Chính vì thế, hôm nay chúng ta sẽ học cách cài đặt một chương trình có thể hạn chế cuộc tấn công “Brute Force” vào dịch vụ SSH. Đó chính là chương trình dịch vụ “Fail2ban“, bài viết bao gồm hướng dẫn cài đặt và cấu hình Fail2ban bảo vệ SSH Server.

Cơ chế hoạt động của Fail2ban

Chương trình Fail2ban sẽ chạy nền dịch vụ và quét file log được chỉ định bởi người dùng hoặc sử dụng mẫu cấu hình mặc định. Sau đó Fail2ban sẽ sử dụng các khuôn mẫu mà Fail2ban quy định để lọc và trích xuất các thông tin cần thiết. Từ những thông tin đó mà Fail2ban sẽ quyết định khoá truy cập IP đang thực hiện hoạt động đáng ngờ, như đăng nhập SSH sai mật khẩu quá nhiều lần,…

Về cơ bản thì Fail2ban sẽ tạo ra bộ rule tường lửa iptables để chặn truy cập từ địa chỉ IP đã xác định trong 1 khoảng thời gian nhất định. Như vậy Fail2ban có khả năng giảm thiểu rất nhiều số hoạt động đăng nhập không chính xác vào dịch vụ hệ thống.

Đọc thêm bài : 13 cách bảo vệ dịch vụ SSH trên Linux

Lưu ý:
– Fail2ban không khuyến khích hoạt động với các chương trình tường lửa khác như CSF, vì sẽ xung đột hoạt động điều khiển tường lửa ‘iptables‘.
– Fail2ban chỉ là dịch vụ chạy nền và tương tác với các rule tường lửa ‘iptables’ qua các cấu hình được chỉ định bởi người dùng.
– Fail2ban không thể giải quyết vấn đề về mật khẩu yếu, không đủ mạnh hay phức tạp để thoát khỏi cuộc tấn công Brute Force.
– Trang chủ Fail2ban : http://www.fail2ban.org/wiki/index.php/Main_Page

1. Cài đặt chương trình Fail2ban

Chương trình Fail2ban không có sẵn trên Repo gốc của CentOS, mà bạn có thể cài đặt chương trình qua Repo EPEL . Vậy chúng ta sẽ cài đặt chương trình Repository EPEL trên CentOS 7 trước.

Sau đó tiến hành cài đặt gói ‘Fail2ban‘ bằng ‘yum‘.

2. Tiến hành cấu hình chương trình Fail2ban

Bạn đã cài đặt xong Fail2ban, thì hãy mở file cấu hình các giá trị toàn cục (global config) của Fail2ban để xem các thông số mặc định như sau :

 
Giải thích cấu hình
:
ignoreip: danh sách các địa chỉ IP mà chúng ta không muốn bị khoá truy cập, có thể coi đây là 1 whitelist địa chỉ IP.
bantime: khoảng thời gian (giây) mà Fail2ban sẽ khoá truy cập từ địa chỉ (block) IP.
findtime: khoảng thời gian (giây) một IP phải login thành công.
maxretry: số lần login thất bại tối đa

Nhìn chung thì cấu hình toàn cục của Fail2Ban thì ổn rồi, chúng ta không cần thiết phải cập nhật lại nội dung file này. Giờ điều chúng ta cần làm đó là tạo file cấu hình với nội dung chỉ định cho việc bảo vệ dịch vụ SSH trên VPS/Cloud Server với nội dung như dưới.

 
Giải thích cấu hình
:
enabled : kích hoạt chức năng cho phép Fail2ban bảo vệ dịch vụ được cấu hình trong section [ssh-iptables]. Bạn có thể tắt phần cấu hình 1 section bằng giá trị “false”.
filter : bạn có thể tìm thấy tên của các mẫu file quy chuẩn hoạt động filter riêng của Fail2ban được cấu hình sẵn trong thư mục ‘/etc/fail2ban/filter.d/*‘. Ta sử dụng tên ‘ssh’, vì nó là alias name tương ứng file ‘/etc/fail2ban/filter.d/sshd.conf‘, nếu file này không tồn tại thì hoạt động bảo vệ port SSH sẽ không hoạt động.
action :
-+ fail2ban sẽ ban địa chỉ IP nếu thông tin lọc khớp với khuôn mẫu trong file ‘/etc/fail2ban/filter.d/sshd.conf‘, các hành vi ban địa chỉ IP được quy định tại ‘/etc/fail2ban/action.d/iptables.conf‘ .
-+ Nếu bạn sử dụng một port khác cho dịch vụ SSH lắng nghe trên server thì bạn có thể phải chỉ định lại thông tin ‘port=<port_number>‘ trong phần cấu hình.
-+ Nếu bạn có địa chỉ mail, thì Fail2ban sẽ gửi email đến cho bạn khi địa chỉ IP bị ban. Bạn cũng nên lưu ý, việc gởi mail thành công hay không phụ thuộc nhiều vào dịch vụ MTA mặc định của hệ thống.
logpath : đường dẫn file log Fail2ban sử dụng để lọc liên tục các thông báo đăng nhập sai.
maxretry : số lần login thất bại tối đa cho phép.
bantime : thời gian khoá truy cập từ IP đăng nhập sai quá số lần ‘maxretry’. 3600 giây = 1 giờ. Bạn có thể thay đổi giá trị theo mong muốn. `

3. Khởi động dịch vụ Fail2ban

Bạn tiến hành khởi động dịch vụ Fail2ban lên và cấu hình cho dịch vụ Fail2ban sẽ khởi động cùng hệ thống OS khi reboot.

+ CentOS 6

+ CentOS 7

Ta có thể kiểm tra thử xem dịch vụ tường lửa ‘iptables‘ đã có bộ rule mà Fail2ban đã áp lên iptables để sử dụng chưa. Kể từ lúc này bạn có thể để dịch vụ Fail2ban hoạt động ngầm và bảo vệ bạn khỏi các cuộc tấn công SSH Brute Force.

4. Lệnh quản lý fail2ban

Bạn muốn biết là đã có IP nào bị banned bởi chương trình Fail2ban chưa thì có thể sử dụng lệnh sau. Output lệnh dưới hiển thị hiện có 1 địa chỉ IP đang bị banned. :

Còn nếu giờ bạn muốn xóa địa chỉ IP khỏi danh sách banned, bạn có thể dùng lệnh sau:

Như vậy bạn đã có thể tự thực hiện cài đặt và cấu hình Fail2ban để bảo vệ SSH khỏi các cuộc tấn công Brute Force vào hệ thống VPS/Cloud Server rồi. Chúc các bạn thành công.

Quách Chí Cường (Theo VINADATA – CLOUD SERVER/CDN )

Đánh giá sao từ người đọc :
[ Tổng : 0 - Trung bình: 0 ]

LEAVE A REPLY