Um Bruteforce Attacken auf ssh oder ftp Servern Paroli zu bieten, empfiehlt sich unter anderem der Einsatz von fail2ban. Über die iptables sperrt fail2ban Quell-IPs, über die versucht wird, ein Passwort zu erraten. Je nach Konfiguration wird die IP nach einer bestimmten Anzahl von Fehlversuchen für eine gewisse Zeit gesperrt.

Ihr installiert fail2ban über

Code:
apt-get install fail2ban
Zudem falls noch nicht geschehen das Paket whois:

Code:
apt-get install whois
Als nächstes kopiert die Konfigurationsdatei jail.conf nach jail.local

Code:
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
Danach kann die Datei jail.local editiert und auf die eigenen Bedürfnisse angepasst werden. Per default ist nur der ssh "scharf" geschaltet.

Code:
nano /etc/fail2ban/jail.local
Wenn Ihr Euch die Datei anseht, stehen bereits schon entsprechende Sections wie der proftp zur Verfügung. Um eine bestimmte Section zu aktivieren stellt im jeweiligen Bereich das

Code:
enabled = false
auf

Code:
enabled = true
Die Standart bantime (= die Zeit, die eine IP gesperrt ist) steht auf 600 Sekunden = 10 Minuten. Sollte ein besonderer Dienst länger gesperrt werden, schreibt in die Section

Code:
bantime = XYZ
XYZ in Sekunden

Der Wert maxretry gibt an, ab wieviel Fehlversuche gesperrt wird. 5 bis 6 Fehlversuche gehen in der Regel in Ordnung.

Nach jeder Änderung muss fail2ban neu gestartet werden:

Code:
/etc/init.d/fail2ban restart
Achso: Der Wert ignoreip ist auch wichtig. Gebt hier die IP Eures Rechners ein, der keinesfalls gesperrt werden soll. Nichts schlimmeres, als wenn Eure eigene Maschine nicht mehr ran kann

Wer zudem sich den Luxus gönnen möchte, dass man per Mail verständigt wird, sobald ein Einbruchsversuch geblockt wurde, kann dies natürlich auch einrichten. Gebt dazu den Parameter destemail in der jail.local an:

Code:
destemail = meine@email.adresse
Als Standard MTA ist sendmail angegeben. Die heutigen Debianserver haben als Standard MTA den exim4 hinterlegt. Dieser funktioniert als Ersatz auch und es muss hier in der jail.local nichts umgebogen werden.

Solltet Ihr eigentlich keinen Webserver aktiviert haben, könnt Ihr aber dennoch den exim dazu verwenden, via eines sogenannten Smarthosts (= externer Mailserver) Eure fail2ban Mail verschicken zu lassen.

Um einen Smarthost einzurichten startet die Konfiguration mit einem

Code:
dpkg-reconfigure exim4-config
Folgende Konfigurationsschritte:

1.) Versand über Sendezentrale (Smarthost); Empfang mit SMTP oder Fetchmail

2.) Email Name des Systems: Lasst einfach den voreingestellten Domänen Name stehen

3.) IP-Adressen, dan denen eingehende SMTP-Verbindungen erwartet werden: 127.0.0.1

4.) Weitere Ziele, für die die E-Mails angenommen werden sollen: Auch hier den default Domän Namen stehen lassen

5.) Rechner für die die E-Mails weitergeleitet werden sollen (Relay): Leer lassen, wenn nicht ein weiterer Rechner DIESEN Rechner als Smarthost verwendet. Also normal leer lassen.

6.) IP Adresse oder Rechnername der Sendezentrale für ausgehende E-Mails:
Hier und genau hier kommt die IP Adresse oder der Rechnername (mail/smtp.xyz) Eures ISP rein!

7.) Lokalen E-Mail Namen in ausgehende Mails verbergen: Ja

8.) Sichtbarer Domänennamen für lokalen Benutzer: Hier gebt eine Adresse ein, die Ihr besitzt (in der Form meinepage.de)

9.) DNS Anfrage minimieren: Ja

10.) Versandart bei lokaler Mailzustellung: Mbox Format in /var/mail/

11.) Einstellungen auf kleine Dateien aufteilen: Nein

Danach startet der MTA neu. Jetzt kann es auch sein, dass Euer Smarthost eine Authentifizierung abverlangt. Diese hinterlegt in der folgenden Datei: /etc/exim4/passwd.client

Hier das Passwort wie folgt hinterlegen:

Code:
IP_des_Mailserver_oder_Name:LOGIN:PASSWORT
Die Datei sollte nur lesbar für root sein.

Startet danach den MTA neu:

Code:
/etc/init.d/exim4 restart
Danach geben wir noch in der /etc/fail2ban/jail.local an, dass auch E-Mails verschickt werden sollen. Ändert hierfür die Zeile

Code:
action = %(action_)s
in

Code:
action = %(action_mwl)s
Jetzt den fail2ban neu starten:

Code:
/etc/init.d/fail2ban restart
Nun sollte es nicht mehr lange dauern, bis Ihr eine Mail bekommt.

Die Logfile könnt Ihr an der Konsole mit einem

Code:
tail -f /var/log/fail2ban.log
überwachen.

Damit ist ein Geschützturm für Euren Server aufgestellt.

Viel Erfolg!
cu
Gargi