¿Qué es Fail2ban?

También llamado: fail2ban, bloqueo de IPs por intentos fallidos

Definición

Fail2ban es una herramienta para servidores Linux que lee los registros, detecta las IP que fallan repetidamente al iniciar sesión y las bloquea temporalmente en el cortafuegos.

Es la defensa básica contra los ataques de fuerza bruta en un VPS: si una IP falla la contraseña de SSH cinco veces en diez minutos, queda bloqueada durante una hora. Funciona con SSH, servidores de correo, paneles web, WordPress y cualquier servicio que deje un log.

Ejemplo

Instalarlo en Debian o Ubuntu:

$ sudo apt install fail2ban

La configuración propia va en /etc/fail2ban/jail.local (no edites jail.conf, que se sobrescribe al actualizar):

[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5
ignoreip = 127.0.0.1/8 198.51.100.77

[sshd]
enabled = true
backend = systemd

$ sudo systemctl restart fail2ban
$ sudo fail2ban-client status sshd
Status for the jail: sshd
|- Currently failed: 2
`- Banned IP list:   203.0.113.91 198.51.100.23
$ sudo fail2ban-client set sshd unbanip 203.0.113.91

Conceptos

Jail: una regla para un servicio (qué log leer, cuántos fallos, cuánto bloquear).
Filtro: el patrón que identifica un intento fallido en el log.
Acción: qué hacer con la IP; normalmente, bloquearla en el cortafuegos.

Errores habituales

Bloquearse a uno mismo probando contraseñas. Añade tu IP fija a ignoreip o ten a mano la consola del proveedor.
Pensar que sustituye a las claves SSH: con contraseñas débiles, un ataque lento y distribuido entre muchas IP puede pasar por debajo del umbral.

¿Tienes un producto o servicio relacionado con Fail2ban? Anúnciate en este término.

Términos relacionados

Categorías: Seguridad DevOps