Вступ

Забезпечення базового рівня безпеки серверів - це не додатковий етап після розгортання інфраструктури, а обов’язкова складова її проєктування. Будь-який публічно доступний сервіс - SSH, вебсервер, поштовий шлюз або VPN - стає об’єктом автоматизованих атак уже в перші хвилини після появи в мережі. Найпоширеніший сценарій - brute-force спроби підбору облікових даних.

Одним із ефективних інструментів первинного захисту від таких атак є Fail2Ban - програмний механізм динамічного блокування IP-адрес на основі аналізу логів. Його завдання - автоматично виявляти підозрілу активність і тимчасово або постійно обмежувати доступ до сервісів.

У цій статті розглянемо архітектуру Fail2Ban, принцип роботи, способи інтеграції з різними службами, налаштування фільтрів, оптимальні параметри безпеки та практичні кейси використання у production-середовищі.

Що таке Fail2Ban і як він працює

Fail2Ban - це сервіс для Linux-систем, який:

1. Моніторить лог-файли (SSH, Nginx, Apache, Postfix тощо).

2. Виявляє повторювані невдалі спроби авторизації або інші аномальні події.

3. Додає правила до firewall (iptables, nftables, firewalld), блокуючи IP-адресу порушника.

Архітектура роботи

Fail2Ban складається з кількох ключових компонентів:

• Jail - логічна конфігурація для конкретного сервісу.

• Filter - регулярні вирази для пошуку підозрілих записів у логах.

• Action - механізм блокування (додавання правил firewall).

• Backend - спосіб читання логів (polling або systemd journal).

Схематично процес виглядає так:

1. Сервіс записує подію в лог.

2. Fail2Ban аналізує лог.

3. Якщо кількість невдалих спроб перевищує поріг - IP блокується.

4. Через визначений час блокування знімається (або залишається постійним).

Встановлення та базове налаштування

Встановлення (Ubuntu / Debian)

sudo apt update
sudo apt install fail2ban -y

Встановлення (RHEL / CentOS / AlmaLinux)

sudo dnf install epel-release -y
sudo dnf install fail2ban -y

Після встановлення сервіс потрібно активувати:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Перевірка статусу:

sudo systemctl status fail2ban

Конфігурація: принципи та структура

Основний файл конфігурації:

/etc/fail2ban/jail.conf

Однак не рекомендується змінювати його напряму. Замість цього слід створити:

/etc/fail2ban/jail.local

Приклад базового jail.local

[DEFAULT]
bantime  = 3600
findtime = 600
maxretry = 5
backend  = systemd
destemail = admin@example.com
sender = fail2ban@example.com
mta = sendmail

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s

Пояснення ключових параметрів

• bantime - тривалість блокування (у секундах).

• findtime - період, протягом якого підраховуються спроби.

• maxretry - кількість дозволених невдалих спроб.

• backend - спосіб читання логів.

• enabled - активація jail.

Захист SSH: практичний кейс

SSH - один із найчастіше атакованих сервісів.

Типовий сценарій атаки

Ботнет надсилає сотні спроб входу з різними логінами:

Failed password for root from 185.23.x.x port 52421 ssh2

Конфігурація для production

[sshd]
enabled  = true
port     = 22
logpath  = /var/log/auth.log
backend  = systemd
bantime  = 86400
findtime = 600
maxretry = 3

У цьому випадку:

• 3 невдалі спроби за 10 хвилин

• блокування на 24 години

Перевірка активних блокувань

sudo fail2ban-client status sshd

Захист вебсервера (Nginx / Apache)

Fail2Ban може блокувати IP при:

• 404 flood

• SQL injection спробах

• brute-force атаках на login-форму

• excessive requests

Приклад jail для Nginx

[nginx-http-auth]
enabled = true
port    = http,https
logpath = /var/log/nginx/error.log
maxretry = 3

Захист від ботів, що сканують CMS

[nginx-badbots]
enabled = true
port = http,https
logpath = /var/log/nginx/access.log
maxretry = 2

Створення власного фільтра

Іноді стандартних фільтрів недостатньо.

Приклад: блокування спроб доступу до wp-login.php

Створюємо файл:

/etc/fail2ban/filter.d/nginx-wplogin.conf

Вміст:

[Definition]
failregex = ^<HOST> -.*"(GET|POST).*wp-login.php
ignoreregex =

Додаємо jail:

[nginx-wplogin]
enabled = true
port = http,https
filter = nginx-wplogin
logpath = /var/log/nginx/access.log
maxretry = 5
bantime = 7200

Інтеграція з firewall

Fail2Ban підтримує:

• iptables

• nftables

• firewalld

• pf (BSD)

Перевірка дій action

sudo fail2ban-client get sshd actions

Використання nftables (рекомендовано для сучасних систем)

action = nftables-multiport

Масштабування та оптимізація

Рекомендації для production

1. Використовуйте довший bantime для повторних порушників.

2. Впроваджуйте recidive jail (блокує тих, хто порушує повторно).

3. Налаштуйте whitelist для власних IP.

4. Використовуйте rate limiting на рівні Nginx як додатковий захист.

5. Інтегруйте з SIEM для централізованого моніторингу.

Приклад recidive

[recidive]
enabled = true
logpath = /var/log/fail2ban.log
bantime = 604800
findtime = 86400
maxretry = 5

Моніторинг та діагностика

Перевірка загального статусу

sudo fail2ban-client status

Перевірка логів

/var/log/fail2ban.log

Тестування регулярних виразів

fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-wplogin.conf

Типові помилки та ризики

1. Самоблокування адміністратора

Рішення: додати IP у whitelist:

ignoreip = 127.0.0.1/8 192.168.1.10

2. Надто агресивні параметри

Занадто низький maxretry може блокувати легітимних користувачів.

3. Відсутність моніторингу

Fail2Ban - не заміна IDS/IPS, а додатковий рівень захисту.

Fail2Ban у контейнеризованих середовищах

У Docker або Kubernetes можливі обмеження:

• контейнер не має доступу до host firewall

• логи можуть бути у stdout

Рішення:

• запуск Fail2Ban на хості

• використання централізованого логування (ELK)

• sidecar-модель у Kubernetes

Порівняння з альтернативами

Best Practices для безпечної конфігурації

1. Заборонити root login у SSH.

2. Використовувати ключову автентифікацію.

3. Змінити стандартний SSH-порт (додатковий захід).

4. Використовувати багатофакторну автентифікацію.

5. Регулярно оновлювати систему.

Висновки

Fail2Ban - ефективний, легкий у впровадженні та масштабуванні інструмент для захисту серверів від автоматизованих атак. Він не замінює комплексні системи безпеки, проте суттєво знижує ризик успішного brute-force або сканування.

Ключові переваги:

• Простота конфігурації

• Гнучка система фільтрів

• Підтримка сучасних firewall

• Можливість масштабування

У production-середовищі Fail2Ban варто використовувати як частину багаторівневої стратегії безпеки разом із firewall, WAF, політиками доступу та моніторингом подій.

Грамотно налаштований Fail2Ban здатний автоматично нейтралізувати більшість масових атак без участі адміністратора, що робить його важливим компонентом захисту будь-якої Linux-інфраструктури.