Fail2Ban ile SSH ve Web Brute-Force Saldırılarını Etkin Şekilde Önleme

Sunucu güvenliğinde brute-force saldırıları, en temel ve yaygın tehditlerden biridir. Bu tür saldırılar, kullanıcı adları ve şifre kombinasyonlarını deneme yanılma yoluyla tahmin etmeye çalışır. Özellikle SSH gibi kritik yönetim arayüzleri ve web uygulamalarının kimlik doğrulama mekanizmaları, sürekli bu tür denemelere maruz kalır. Fail2Ban, bu otomatize saldırıları log dosyalarını analiz ederek tespit eden ve saldırgan IP adreslerini belirli bir süre için firewall kuralları aracılığıyla engelleyen robust bir güvenlik aracıdır. Bu, sadece güvenlik duruşunu güçlendirmekle kalmaz, aynı zamanda sunucu kaynaklarının gereksiz yere tüketilmesinin de önüne geçer.

Fail2Ban'ın Mekanizması: Jails, Filters ve Actions

Fail2Ban'ın çekirdek işleyişi, üç ana bileşen etrafında şekillenir: Jails, Filters ve Actions.

• Jails (Kafesler): Bir jail, korunacak belirli bir servisi (örneğin sshd, apache-auth, nginx-dos) temsil eder. Her jail, hangi log dosyasını izleyeceğini, hangi filtreyi kullanacağını, kaç başarısız denemeden sonra engelleme yapacağını (maxretry) ve engellemenin ne kadar süreceğini (bantime) tanımlar.
• Filters (Filtreler): Filtreler, log dosyalarını taramak için kullanılan düzenli ifadeler (regular expressions) içerir. Bir saldırı girişimini gösteren belirli kalıpları (örneğin, başarısız SSH girişimi, HTTP 401 hatası) bu ifadelerle eşleştirir. Fail2Ban, popüler servisler için önceden tanımlanmış birçok filtre ile gelir.
• Actions (Eylemler): Bir filtre bir saldırı kalıbını tespit ettiğinde, Fail2Ban tanımlanan eylemi tetikler. Varsayılan ve en yaygın eylem, saldırgan IP adresini iptables veya nftables gibi firewall araçları aracılığıyla engellemektir. Ayrıca, e-posta ile bildirim gönderme veya başka özel komutları çalıştırma gibi farklı eylemler de yapılandırılabilir.

Kurulum ve Temel Yapılandırma

Fail2Ban kurulumu çoğu Linux dağıtımında basittir:

Ubuntu/Debian için:

sudo apt update && sudo apt install fail2ban

CentOS/RHEL/Fedora için:

sudo dnf install fail2ban

Kurulumdan sonra, Fail2Ban servisi genellikle otomatik olarak başlar ve etkinleştirilir. Yapılandırma dosyaları /etc/fail2ban/ dizininde bulunur. Doğrudan jail.conf dosyasını düzenlemek yerine, jail.local dosyasını oluşturarak değişiklik yapmak önerilir. Bu, gelecekteki güncellemelerde yapılandırmanızın üzerine yazılmasını önler.

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

SSH Brute-Force Koruması için Fail2Ban Yapılandırması

SSH, genellikle Fail2Ban'ın ilk etkinleştirildiği servistir. jail.local dosyasını düzenleyerek [sshd] bölümünü bulun veya ekleyin:

sudo nano /etc/fail2ban/jail.local

Aşağıdaki gibi bir yapılandırma ile SSH korumasını etkinleştirebilirsiniz:

[sshd]enabled = trueport = sshlogpath = /var/log/auth.logmaxretry = 3bantime = 1hignoreip = 127.0.0.1/8 ::1 

Açıklamalar:

• enabled = true: SSH korumasını aktif eder.
• port = ssh: Korunacak portu belirtir (genellikle 22).
• logpath = /var/log/auth.log: SSH giriş denemelerinin kaydedildiği log dosyası.
• maxretry = 3: Bir IP adresinin engellenmeden önce yapabileceği başarısız deneme sayısı.
• bantime = 1h: Engellenen bir IP adresinin ne kadar süreyle engelli kalacağı (1 saat).
• ignoreip: Beyaz listeye alınacak IP adresleri veya IP aralıkları. Kendi IP adresinizi veya şirketinizin sabit IP'lerini buraya eklemek, yanlışlıkla engellenmenizi önler.

Yapılandırma değişikliklerinden sonra Fail2Ban servisini yeniden başlatın:

sudo systemctl restart fail2ban

Web Sunucusu Brute-Force Saldırılarını Önleme (Apache/Nginx)

Web sunucuları üzerindeki paneller (örneğin cPanel, Plesk, WordPress admin paneli) veya HTTP kimlik doğrulama gerektiren dizinler, brute-force saldırılarının hedefi olabilir. Fail2Ban, web sunucusu loglarını (access.log, error.log) tarayarak bu tür saldırıları tespit edebilir.

Apache için Örnek Yapılandırma

Apache'de HTTP kimlik doğrulama denemelerini izlemek için [apache-auth] jail'ini kullanabiliriz:

[apache-auth]enabled = trueport = http,httpsfilter = apache-authlogpath = /var/log/apache2/error.logmaxretry = 3bantime = 30m

Bu yapılandırma, Apache'nin error.log dosyasındaki HTTP 401 (Unauthorized) hatalarını tarar ve belirli bir IP'den 3 başarısız deneme gelirse IP'yi 30 dakika boyunca engeller.

Nginx için Örnek Yapılandırma

Nginx için varsayılan bir apache-auth gibi filtre bulunmayabilir, bu yüzden özel bir filtre tanımlamak gerekebilir. Örneğin, WordPress veya benzeri bir CMS'in admin paneline yönelik aşırı istekleri veya HTTP 403/401 hatalarını takip edebiliriz. İlk olarak jail.local dosyanıza Nginx için bir jail ekleyin:

[nginx-http-auth]enabled = trueport = http,httpsfilter = nginx-http-authlogpath = /var/log/nginx/error.logmaxretry = 3bantime = 30m[nginx-dos]enabled = trueport = http,httpsfilter = nginx-doslogpath = /var/log/nginx/access.logmaxretry = 100bantime = 10mfindtime = 60s

Ardından, Nginx için bir filtre dosyası oluşturun (örneğin /etc/fail2ban/filter.d/nginx-http-auth.conf):

[Definition]failregex = ^<HOST> -.*"(?:GET|POST).*" (?:401|403).*$ignoreregex =

Bu filtre, Nginx'in error.log dosyasında belirli bir IP adresinden gelen 401 veya 403 HTTP durum kodlarını içeren girişleri arar. [nginx-dos] ise access.log üzerinde aşırı istekleri (örneğin 1 dakika içinde 100'den fazla istek) hedefleyerek basit bir DDoS koruması sağlar. findtime, Fail2Ban'ın maxretry değerini saymak için ne kadar geriye bakacağını tanımlar.

Gerçek Üretim Senaryoları ve İleri Yapılandırmalar

Yüksek Hacimli Saldırılarda Performans Yönetimi

Yoğun saldırı altındaki sistemlerde, Fail2Ban'ın logları tarama ve firewall kurallarını güncelleme performansı kritik hale gelebilir. backend parametresi, log izleme mekanizmasını optimize eder:

• pyinotify: Gerçek zamanlı dosya değişikliklerini izler (önerilen).
• systemd: Systemd journal'ı kullanır.
• polling: Dosyayı periyodik olarak kontrol eder (daha az verimli).

[DEFAULT]backend = systemd

Özellikle systemd tabanlı sistemlerde bu ayar performansı artırabilir.

Sürekli Engelleme ve Beyaz Liste Yönetimi

Bazı durumlarda, belirli bir IP adresini kalıcı olarak engellemek isteyebilirsiniz. Bunun için bantime = -1 değerini kullanabilirsiniz:

[bad-ip-permanent]enabled = truefilter = bad-ip-filterlogpath = /var/log/syslogaction = iptables[name=bad-ip-permanent, port=all, protocol=all]bantime = -1maxretry = 1

Burada bad-ip-filter gibi özel bir filtre ile manuel olarak eklenen IP'leri hedefleyebilirsiniz. Beyaz liste yönetimi için ise ignoreip parametresini aktif olarak kullanmak ve güvenilir kaynakları her zaman dahil etmek esastır.

Bulut Ortamlarında Fail2Ban ve WAF Entegrasyonu

AWS EC2 gibi bulut ortamlarında çalışan sunucularda Fail2Ban, doğrudan sunucu seviyesinde koruma sağlar. Ancak, trafik genellikle bir Load Balancer veya WAF (Web Application Firewall) arkasından gelir. Bu durumda, Fail2Ban'ın engellediği IP adreslerinin Load Balancer'a veya WAF'a bildirilmesi, daha geniş kapsamlı bir koruma sağlar.

Örneğin, Fail2Ban'ın bir IP'yi engellediğinde tetikleyeceği özel bir action yazarak, bu IP adresini AWS WAF'ın IP setlerine ekleyen bir Lambda fonksiyonunu çağırabilirsiniz. Bu, saldırgan trafiğin sunucuya ulaşmadan engellenmesini sağlar. Benzer şekilde, Cloudflare gibi CDN/WAF hizmetleri ile Fail2Ban'ı entegre etmek için Cloudflare API'si aracılığıyla IP banlama işlemi gerçekleştiren custom action'lar geliştirilebilir. Bu tür entegrasyonlar, sadece sunucu kaynaklarını korumakla kalmaz, aynı zamanda ağ katmanında da proaktif savunma imkanı sunar.

İzleme ve Sorun Giderme

Fail2Ban'ın doğru çalıştığından emin olmak için düzenli izleme kritiktir:

• Servis Durumunu Kontrol Etme:

sudo systemctl status fail2ban

• Fail2Ban Genel Durumu:

sudo fail2ban-client status

• Belirli Bir Jail'in Durumu:

sudo fail2ban-client status sshd

Bu komutlar, hangi jail'lerin etkin olduğunu, kaç IP'nin engellendiğini ve aktif ban sürelerini gösterir.

• Log Dosyalarını İnceleme: Fail2Ban'ın kendi log dosyası (genellikle /var/log/fail2ban.log) olası hataları veya beklenmeyen davranışları anlamak için önemlidir.

sudo tail -f /var/log/fail2ban.log

Fail2Ban, sunucu güvenliğinin vazgeçilmez bir parçasıdır. Doğru yapılandırma ve izleme ile, brute-force saldırılarına karşı sağlam bir savunma hattı oluşturur ve sistem yöneticilerinin yükünü önemli ölçüde hafifletir.