Thema: Fail2Ban ich krieg mich nicht gebannt!

Nur mal so um das als Fehlerursache auszuschließen: Bei mir wird am Anfang der Konfiguration mit der Option ignoreip das ganze lokale Netzwerk für fail2ban ausgeblendet. Wenn dann die "Einbruchsversuche" zum Testen aus dem lokalen Netz kommen, passiert natürlich auch nichts.

Gruß - z80

Attacking Log Analysis tools

Nur mal zum Nachdenken.

Echte Sicherheit bieten diese Tools eh nicht, also wieso darauf Zeit verschwenden, die man (falls noch nicht passiert) sehr viel sinnvoller zur wirklichen Sicherung des Sytems verwenden könnte?

Zitat von Bastiboy1985

ich mein wenn der/die Person gebannt ist für sagen wir 1-2 Std. nach 2 Versuchen ist doch zumindest die Menge der Angriffe minimalisiert?

Und?

Was bringt das an Sicherheit?

Und es ist nicht die Person gebannt sondern eine IP (kannst ja mal ein wenig drüber grübeln, warum ich das so explizit schreibe).

Eine sichere Einrichtung (siehe irgendeines der wahrscheinlich Tausenden von Tutorials zu diesem Thema) Deines SSHD kann es nicht ersetzen, während bei einem sicher eingerichteten SSH-Server der Kram komplett unnötig ist.

Zitat von Bastiboy1985

bringt Fail2Ban den garnix?

Was es mit Sicherheit bringt, ist mehr Komplexität im System und damit mehr potentielle Fehler sei es durch Bugs (siehe Link) oder Fehlkonfiguration/Fehlbedienung.

Hi Basti,

auch wenn ich für meine hier schon einmal geäußerte Meinung mächtig Dresche bezogen habe: eine nachgewiesene Erhöhung der Sicherheit deines Systems erreichst du weder mit fail2ban noch mit solchen Spielchen wie dem Verändern des für den sshd verwendeten Ports!
Ich schließe mich also in diesem Punkt voll und ganz der von Rain_Maker geäußerten Meinung an.

Aber trotzdem nutze ich fail2ban!
Nicht, um mir einen lediglich gefühlten Sicherheitsgewinn zu bereiten - auch eine gewisse Verzögerung ist für den Spielmatz zumindest lästig, einen echten Angreifer hält das aber nicht ab - sondern einfach, um das lästige Hintergrundrauschen in meinen Logs etwas zu dämpfen. Schaden kann ein Tool wie fail2ban kaum - aber "Sicherheit" gewinnst du nur durch strikte Anwendung der vielen entsprechenden Hinweise. Pflicht ist IMHO zumindest das Verbot der Anmeldung mit Benutzername und Passwort und dafür die ausschließliche Verwendung von asymmetrischen Schlüsseln.

Aber das war ja gar nicht deine Frage ... .

In welches Logfile werden (standardmäßig) die falschen Anmeldungen geschrieben? ==> /var/log/messages (zumindest bei openSUSE)
Und welches Log wertet dein fail2ban aus?

Code:

logpath = /var/log/sshd.log

Alles klar?

MfG Peter