Tipp von Mark McNally

Schützt echte Dienste vor Fremdzugriff

https://www.youtube.com/watch?v=dt19TlGZXKE

Rsyslog

ist für Standard-Logs wie /var/log/auth.log verantwortlich.
"Rocket-fast System Logging"

apt install rsyslog
systemctl enable rsyslog --now

Fail2ban

apt install fail2ban

[DEFAULT]

bantime = -1

bantime.increment = true
bantime = 1h
bantime.factor = 2

bantime.maxtime = 4w

findtime = 600

findtime = 10m

maxretry = 1

logpath = /var/log/auth.log

backend = systemd

ignoreip = 127.0.0.1/8 ::1

[sshd]
enabled = true
filter = sshd

port = 2222

  • konfiguration testen 
    fail2ban-client -t
  • Fail2ban aktivieren und starten 
    systemctl enable fail2ban --now
systemctl status fail2ban
fail2ban-client status sshd
  • Logs prüfen/überwachen

    sort /var/log/auth.log
    sort /var/log/auth.log | uniq | wc -l

    cat /var/log/auth.log | wc -l

    wc -l /var/log/auth.log

    tail -f /var/log/auth.log

    Mail

    Postfix überwachen

    [postfix]
    enabled = true
    port = smtp,ssmtp,submission
    logpath = /var/log/mail.log
    backend = systemd
    maxretry = 3 # Maximale Fehlversuche
    findtime = 600 # Zeitraum (Sekunden) für Fehlversuche
    bantime = 3600 # Sperrdauer (Sekunden)

    Postfix-SASL (SMTP-Authentifizierung)

    [postfix-sasl]
    enabled = true
    port = smtp,ssmtp,submission
    logpath = /var/log/mail.log
    backend = systemd
    maxretry = 5
    findtime = 600
    bantime = 3600

    Dovecot (IMAP/POP3)

    [dovecot]
    enabled = true
    port = pop3,pop3s,imap,imaps
    logpath = /var/log/mail.log
    backend = systemd
    maxretry = 5
    findtime = 600
    bantime = 3600

    Wichtige Pfade

    Hauptkonfiguration:

    /etc/fail2ban/jail.local # Benutzerdefinierte Einstellungen
    /etc/fail2ban/jail.conf # Standardkonfiguration (nicht direkt bearbeiten)

    Logdateien:

    /var/log/mail.log # Logdatei für Postfix und Dovecot
    /var/log/fail2ban.log # Logdatei für Fail2ban-Aktivitäten

    Filterdateien:

    /etc/fail2ban/filter.d/postfix.conf # Filter für Postfix
    /etc/fail2ban/filter.d/postfix-sasl.conf # Filter für Postfix-SASL
    /etc/fail2ban/filter.d/dovecot.conf # Filter für Dovecot

    Wichtige Befehle

    Fail2ban neu starten:

    systemctl restart fail2ban

    Konfiguration testen:

    fail2ban-client -t

    Status von Fail2ban prüfen:

    fail2ban-client status

    Details eines spezifischen Jails anzeigen:

    fail2ban-client status postfix

    Logs überwachen:

    tail -f /var/log/fail2ban.log
    tail -f /var/log/mail.log

    Tipp

    Wenn ein Jail nicht wie erwartet funktioniert, überprüfe die Filterdateien im Verzeichnis /etc/fail2ban/filter.d/. Dort findest du die Regeln, die Fail2ban verwendet, um verdächtige Einträge in den Logs zu erkennen.