Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Linux Autres OS Linux Debian fail2ban

fail2ban

42 réponses
Avatar
BERTRAND Joël
Bonsoir à tous,

J'ai un truc un peu bizarre avec fail2ban 0.9.1 que j'ai installé sur
un serveur. J'ai patché l'outil pour qu'il traite aussi les IPv6
(https://tetsumaki.net/blog/article/2014-03-04-ajout-du-support-ipv6-sur-fail2ban.html).

J'observe un comportement étrange sans savoir si ce comportement est
provoqué par le patch IPv6 (mais il n'a rien de complexe) ou si c'est dû
à l'augmentation ces derniers jours des attaques. En effet, j'ai un /29
et je subis actuellement en IPv4 des attaques sur toutes les IP à un
rythme soutenu.

ip(6)tables -L renvoient :
... (mes règles habituelles)
Chain f2b-apache-auth (3 references)
target prot opt source destination
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere

Chain f2b-courier-auth (3 references)
target prot opt source destination
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere

Chain f2b-ejabberd-auth (3 references)
target prot opt source destination
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere
RETURN all -- anywhere anywhere


Il m'arrive d'avoir une centaine de RETURN au bout d'une journée. Je
relance fail2ban et ça fonctionne jusqu'à la prochaine fois.

Suis-je le seul à observer cela ?

Cordialement,

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Archive: https://lists.debian.org/54B6E498.4050001@systella.fr
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3 4 5
Avatar
Daniel Caillibaud
Le 15/01/15 à 18:33, BERTRAND Joël a écrit :
BJ> > Ça a rapport avec ça ?
BJ> > http://fr.reuters.com/article/topNews/idFRKBN0KO1NZ20150115
BJ>
BJ> Je ne sais pas. Je constate simplement...
BJ>
BJ> > Je n'ai rien vu du tout, c'est bizarre ! Moi qui chope toutes les m…
BJ> > d'habitude.

P'tet que tu tiens à jour tes machines et applis...

La grande majorité des "défacements" concernent des sites sur des CMS pas à jour, parfois
depuis des années...

--
Daniel

Un peuple prêt à sacrifier un peu de liberté pour un peu de sécurité
ne mérite ni l'une ni l'autre, et finit par perdre les deux.
Benjamin Franklin

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
Philippe Gras
Le 16 janv. 15 à 01:59, Daniel Caillibaud a écrit :

Le 15/01/15 à 18:33, BERTRAND Joël a
écrit :
BJ> > Ça a rapport avec ça ?
BJ> > http://fr.reuters.com/article/topNews/idFRKBN0KO1NZ20150115
BJ>
BJ> Je ne sais pas. Je constate simplement...
BJ>
BJ> > Je n'ai rien vu du tout, c'est bizarre ! Moi qui chope toutes
les m…
BJ> > d'habitude.

P'tet que tu tiens à jour tes machines et applis...



Bah, non justement ! Je déteste courir derrière les mises à jour.

Le serveur est à jour de Noël, mais pas les CMS actuellement !

Je trouve que je subis beaucoup d'attaques, mais elles ont pour

le moment toutes été repoussées.

Par contre, je scrute mes logs régulièrement. J'ai rencontré pas

mal de gens qui ne se souciaient pas des attaques, parce qu'ils

les ignoraient. Beaucoup ne s'en rendent même pas compte.

Ou trop tard… De ceux-là, j'en ai vu beaucoup aussi !


La grande majorité des "défacements" concernent des sites sur des
CMS pas à jour, parfois
depuis des années...

--
Daniel

Un peuple prêt à sacrifier un peu de liberté pour un peu de sécurité
ne mérite ni l'une ni l'autre, et finit par perdre les deux.
Benjamin Franklin

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet
"unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/





--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
BERTRAND Joël
BERTRAND Joël wrote:
Philippe Gras a écrit :

J'observe un comportement étrange sans savoir si ce comportement
est provoqué par le patch IPv6 (mais il n'a rien de complexe) ou si
c'est dû à l'augmentation ces derniers jours des attaques. En effet,
j'ai un /29 et je subis actuellement en IPv4 des attaques sur toutes
les IP à un rythme soutenu.



Ça a rapport avec ça ?
http://fr.reuters.com/article/topNews/idFRKBN0KO1NZ20150115



Je ne sais pas. Je constate simplement...

Je n'ai rien vu du tout, c'est bizarre ! Moi qui chope toutes les m…
d'habitude.



Heureux homme.



Tiens, je viens de m'apercevoir d'un autre truc amusant :

Root rayleigh:[/export/home/bertrand] > iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
f2b-ejabberd-auth tcp -- anywhere anywhere
multiport dports xmpp-client
f2b-courier-auth tcp -- anywhere anywhere
multiport dports smtp,urd,submission,imap3,imaps,pop3,pop3s
f2b-sendmail-reject tcp -- anywhere anywhere
multiport dports smtp,urd,submission
f2b-sendmail-auth tcp -- anywhere anywhere
multiport dports submission,urd,smtp
f2b-apache-auth tcp -- anywhere anywhere
multiport dports http,https
f2b-sshd tcp -- anywhere anywhere multiport
dports ssh
f2b-ejabberd-auth tcp -- anywhere anywhere
multiport dports xmpp-client
f2b-courier-auth tcp -- anywhere anywhere
multiport dports smtp,urd,submission,imap3,imaps,pop3,pop3s
f2b-sendmail-reject tcp -- anywhere anywhere
multiport dports smtp,urd,submission
f2b-sendmail-auth tcp -- anywhere anywhere
multiport dports submission,urd,smtp
f2b-apache-auth tcp -- anywhere anywhere
multiport dports http,https
f2b-sshd tcp -- anywhere anywhere multiport
dports ssh
f2b-ejabberd-auth tcp -- anywhere anywhere
multiport dports xmpp-client
f2b-courier-auth tcp -- anywhere anywhere
multiport dports smtp,urd,submission,imap3,imaps,pop3,pop3s
f2b-sendmail-reject tcp -- anywhere anywhere
multiport dports smtp,urd,submission
f2b-sendmail-auth tcp -- anywhere anywhere
multiport dports submission,urd,smtp
f2b-apache-auth tcp -- anywhere anywhere
multiport dports http,https
f2b-sshd tcp -- anywhere anywhere multiport
dports ssh
f2b-ejabberd-auth tcp -- anywhere anywhere
multiport dports xmpp-client
f2b-courier-auth tcp -- anywhere anywhere
multiport dports smtp,urd,submission,imap3,imaps,pop3,pop3s
f2b-sendmail-reject tcp -- anywhere anywhere
multiport dports smtp,urd,submission
f2b-sendmail-auth tcp -- anywhere anywhere
multiport dports submission,urd,smtp
f2b-apache-auth tcp -- anywhere anywhere
multiport dports http,https
f2b-sshd tcp -- anywhere anywhere multiport
dports ssh

Les règles sont réenregistrées autant de fois qu'il y a de RETURN. Et
ça enfle. J'ai relancé fail2ban hier soir, ce matin, j'ai déjà quatre
RETURN par règle. Ce soir, j'en aurais certainement une bonne
quarantaine... L'augmentation se fait bien un par un.

Bonne journée,

JKB

--
Dr. BERTRAND Joël
SYSTELLA S.A.R.L., 10, place de l'école, 68000 COLMAR, FRANCE
Tél.: +33 (0) 973870201, GSM: +33 (0) 616018060, Fax: +33 (0) 149297395
http://www.systella.fr

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
Philippe Gras

Les règles sont réenregistrées autant de fois qu'il y a de
RETURN. Et ça enfle. J'ai relancé fail2ban hier soir, ce matin,
j'ai déjà quatre RETURN par règle. Ce soir, j'en aurais
certainement une bonne quarantaine... L'augmentation se fait bien
un par un.



La logique tient peut-être au fait que f2b doit écrire une nouvelle
règle pour chaque IP bannie.

Ce qui donne à chaque fois une nouvelle ligne dans iptables, et un
RETURN supplémentaire.

Maintenant que j'y pense…

Bonne journée,

JKB

--
Dr. BERTRAND Joël
SYSTELLA S.A.R.L., 10, place de l'école, 68000 COLMAR, FRANCE
Tél.: +33 (0) 973870201, GSM: +33 (0) 616018060, Fax: +33 (0)
149297395
http://www.systella.fr

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet
"unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/





--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
BERTRAND Joël
Philippe Gras wrote:

Les règles sont réenregistrées autant de fois qu'il y a de
RETURN. Et ça enfle. J'ai relancé fail2ban hier soir, ce matin, j'ai
déjà quatre RETURN par règle. Ce soir, j'en aurais certainement une
bonne quarantaine... L'augmentation se fait bien un par un.



La logique tient peut-être au fait que f2b doit écrire une nouvelle
règle pour chaque IP bannie.

Ce qui donne à chaque fois une nouvelle ligne dans iptables, et un
RETURN supplémentaire.



Il me semble avoir trouvé le fautif. C'est la cible 'recidive' qui est
responsable de cela parce qu'il y a une erreur dans le code (que je n'ai
pas réussi à corriger). Elle fait planter fail2ban qui se recharge dans
un état bâtard, sans effacer au préalable les cibles et règles
préexistantes.

Cordialement,

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
Philippe Gras
Le 17 janv. 15 à 09:47, BERTRAND Joël a écrit :

Philippe Gras wrote:

Les règles sont réenregistrées autant de fois qu'il y a de
RETURN. Et ça enfle. J'ai relancé fail2ban hier soir, ce matin,
j'ai
déjà quatre RETURN par règle. Ce soir, j'en aurais certainement une
bonne quarantaine... L'augmentation se fait bien un par un.



La logique tient peut-être au fait que f2b doit écrire une nouvelle
règle pour chaque IP bannie.

Ce qui donne à chaque fois une nouvelle ligne dans iptables, et un
RETURN supplémentaire.



Il me semble avoir trouvé le fautif. C'est la cible 'recidive' qui
est responsable de cela parce qu'il y a une erreur dans le code
(que je n'ai pas réussi à corriger). Elle fait planter fail2ban qui
se recharge dans un état bâtard, sans effacer au préalable les
cibles et règles préexistantes.



J'ai plein d'erreurs aussi dans mes logs de fail2ban, mais sur
d'autres filtres.

Il faudra que je me penche là-dessus sérieusement, car le paramétrage me

semble beaucoup plus fin que sur tous les tutos que j'ai consultés…


Cordialement,

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet
"unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/




--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
Philippe Gras
Pardon de remonter ce sujet.

As-tu réussi à stopper ces attaques avec fail2ban, finalement ?

Je rencontre un problème sur les tentatives d'exploits (casser un
mot de passe en testant des milliers de combinaisons possibles).

Chez moi, fail2ban bannit bien les IP, mais l'attaque continue…

Le 14 janv. 15 à 22:50, BERTRAND Joël a écrit :

Bonsoir à tous,

J'observe un comportement étrange sans savoir si ce comportement
est provoqué par le patch IPv6 (mais il n'a rien de complexe) ou si
c'est dû à l'augmentation ces derniers jours des attaques. En
effet, j'ai un /29 et je subis actuellement en IPv4 des attaques
sur toutes les IP à un rythme soutenu.



[…]

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet
"unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/




--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
Philippe Gras

Je rencontre un problème sur les tentatives d'exploits (casser un
mot de passe en testant des milliers de combinaisons possibles).

Chez moi, fail2ban bannit bien les IP, mais l'attaque continue…



Chez moi aussi, ça fait ça, mais comme les attaquants sont
décorrélés, pas de problème. J'ai eu des queues de bannis de plus
de 50 machines et la cible récidive fonctionne parfaitement. En
revanche, je ferme autoritairement la connexion avec un ICMP bien
senti, je n'attends pas que la connexion se ferme d'elle même en
DROPant le paquet. Ça aide un peu...



Ah, OK ! Peux-tu expliquer comment tu "fermes autoritairement la
connexion avec un ICMP bien senti" ?

Si je comprends bien, tu aurais le même problème que moi si tu
attendais que la connexion se fermât
naturellement, à moins qu'il ne s'agisse pas du même type d'attaques…

Cordialement,

JKB



--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
BERTRAND Joël
Philippe Gras a écrit :
Pardon de remonter ce sujet.

As-tu réussi à stopper ces attaques avec fail2ban, finalement ?



Oui, ça s'est calmé, mais il y a eu une quinzaine de jours assez
folkloriques.

Je rencontre un problème sur les tentatives d'exploits (casser un
mot de passe en testant des milliers de combinaisons possibles).

Chez moi, fail2ban bannit bien les IP, mais l'attaque continue…



Chez moi aussi, ça fait ça, mais comme les attaquants sont décorrélés,
pas de problème. J'ai eu des queues de bannis de plus de 50 machines et
la cible récidive fonctionne parfaitement. En revanche, je ferme
autoritairement la connexion avec un ICMP bien senti, je n'attends pas
que la connexion se ferme d'elle même en DROPant le paquet. Ça aide un
peu...

Cordialement,

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
Avatar
BERTRAND Joël
Philippe Gras a écrit :

Je rencontre un problème sur les tentatives d'exploits (casser un
mot de passe en testant des milliers de combinaisons possibles).

Chez moi, fail2ban bannit bien les IP, mais l'attaque continue…



Chez moi aussi, ça fait ça, mais comme les attaquants sont
décorrélés, pas de problème. J'ai eu des queues de bannis de plus de
50 machines et la cible récidive fonctionne parfaitement. En revanche,
je ferme autoritairement la connexion avec un ICMP bien senti, je
n'attends pas que la connexion se ferme d'elle même en DROPant le
paquet. Ça aide un peu...



Ah, OK ! Peux-tu expliquer comment tu "fermes autoritairement la
connexion avec un ICMP bien senti" ?



Au lieu de garder la configuration par défaut (d'il y a très longtemps,
je n'ai pas vérifié si cette configuration avait changé récemment) qui
installe un DROP, mes règles installent un REJET avec --reject-with
icmp-port-unreachable

Si je comprends bien, tu aurais le même problème que moi si tu attendais
que la connexion se fermât



Oui j'ai eu ce genre de problème par le passé. En plus, lorsqu'on parle
au zombie, il passe à autre chose plus vite, c'est tout bénef :-P

JKB

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: https://lists.debian.org/
1 2 3 4 5