Как я могу учить fail2ban обнаруживать и блокировать нападения от целой подсети?

Fail2ban не имеет удобной функции для автоматической блокировки атак из целой подсети. Однако это можно сделать, используя последнюю версию fail2ban (. Я использую v0.11 ), несколько простых сценариев fail2ban и небольшой сценарий на чистом python3.

Примечание :Вопрос касается «целой подсети» (, которую я буду называть блоками CIDR или диапазонами IP-адресов ). Это сложная вещь, потому что мы не знаем, насколько большой блок адресов контролирует атакующий. Возможно даже, что злоумышленник случайно контролирует несколько адресов из одного и того же блока, причем интервал -между адресами является законным.

Шаг 1. Получите CIDR хостов

Файлы журналов, которые отслеживает fail2ban, обычно показывают хосты (, например. 127.0.0.1 )вместо блоков CIDR (127.0.0.0/24 )или диапазонов IP (127.0.0.0 -127.0.0.255 ).

Решение может состоять в том, чтобы сначала предположить небольшой блок CIDR, а затем увеличивать его по мере того, как журналы сообщают о большем количестве хостов, ведущих себя неправильно. Очевидно, что CIDR должен увеличиваться только в том случае, если эти хосты находятся с соседних адресов. Но это сложно, и законные адреса могут быть перехвачены независимо от сложности алгоритма.

Вместо этого мы также можем просто найти CIDR в whois. Это влечет за собой некоторую задержку для поиска whois и генерирует некоторый трафик. А вот скрипт, который разбирает whois, может просто записать CIDR в syslog, который затем снова может быть пойман fail2ban.

Примечание. :Не забудьте подключить этот скрипт к блокировке действий предпочитаемого вами скрипта action.d/lorem -ipsum.conf. Имейте в виду, что если maxretry > 1, то вы не сможете перехватывать блоки CIDR, в которых хосты выходят из строя только один раз!

#!/usr/bin/python

import sys, subprocess, ipaddress, syslog

def narrowest_cidr(cidrA, cidrB):
    _ip, subA = cidrA.split('/')
    _ip, subB = cidrB.split('/')

    if int(subA) > int(subB):
        return cidrA
    else:
        return cidrB

bad_ip = sys.argv[1]
cidrs = []
inetnums = []
ret = None

whois = subprocess.run(['whois', bad_ip], text=True,
        stdout=subprocess.PIPE, check=True)

for line in whois.stdout.split('\n'):
    if 'CIDR:' in line:
        cidrs.append(line.replace('CIDR:', '').strip())
    if 'inetnum:' in line:
        inetnums.append(line.replace('inetnum:', '').strip())

if len(cidrs) >= 1:
    if len(cidrs) == 1:
        cidr = cidrs[0]
    else:
        cidr = narrowest_cidr(cidrs[0], cidrs[-1])
elif len(inetnums) > 0:
    if len(inetnums) == 1:
        inetnum = inetnums[0]
        startip, endip = inetnum.split(' - ')
        cidrs = [ipaddr for ipaddr in ipaddress.summarize_address_range(ipaddress.IPv4Address(startip), ipaddress.IPv4Address(endip))]
        if len(cidrs) == 1:
            cidr = cidrs[0]
        else:
            cidr = narrowest_cidr(cidrs[0], cidrs[-1])
else:
    cidr = "no CIDR found"

syslog.openlog(ident="suspectrange")
syslog.syslog("{} has CIDR {}".format(bad_ip, cidr))

Шаг 2. Выясните, когда блокировать CIDR

Если бы у нас было динамическое определение CIDR, это могло бы стать немного сложнее, так как нам пришлось бы изменить то, что мы запрещаем. Но с помощью поиска whois мы можем просто забанить найденный нами блок CIDR,на основе maxretry и findtime, которые мы считаем подходящими. Вот тюрьма, которую я использую:

[fail2ban-cidr-recidive]
filter = fail2ban-cidr-recidive
action = nftables-common[name=BADRANGE]
logpath = /var/log/everything/current

#5 bans in 12hrs is 48hr ban
maxretry = 5
findtime = 12h
bantime = 2d

И сопутствующий фильтр

[Definition]

failregex = \[suspectrange\].* has CIDR <SUBNET>

Шаг 3. Фактическая блокировка CIDR

Как вы могли заметить, я использую action.d/nft -common.conf. nftables позволяет блокировать блоки CIDR вместо отдельных хостов. Для этого требуется небольшое изменение в первой строке actionstart части сценария действия :

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; \}

Следует изменить на:

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; flags interval\; \}