fail2ban 可以检测并阻止 IP 范围吗？

Question

Fail2ban 没有自动检测和阻止 IP 范围的简洁功能。不过，可以使用较新版 fail2ban（我使用的是 v0.11）、一些简单的 fail2ban 脚本和一个小型纯 python3 脚本来实现。

注意：问题涉及 IP 范围（我将其称为 CIDR 块，因为我发现 CIDR 表示法在 nftables 中易于使用）。这是一件困难的事情，因为我们不知道攻击者控制的地址块有多大。甚至可能攻击者偶然控制了同一块中的少数地址，而中间的地址是合法的。

步骤 1. 获取主机的 CIDR

fail2ban 监控的日志文件通常显示主机（例如 127.0.0.1）而不是 CIDR 块（127.0.0.0/24）或 IP 范围（127.0.0.0 - 127.0.0.255）。

一种解决方案可能是首先假设一个较小的 CIDR 块，然后随着日志报告更多行为不当的主机而增大它。显然，只有当这些主机来自相邻地址时，它才应该增大 CIDR。但这很复杂，无论算法多么复杂，合法地址都可能被卷入其中。

相反，我们也可以简单地在 whois 中查找 CIDR。这会导致 whois 查找出现一些延迟，并产生一些流量。但解析 whois 的脚本可以将 CIDR 写入 syslog，然后 fail2ban 可以再次捕获它。

注意：不要忘记将此脚本挂接到您首选的 action.d/lorem-ipsum.conf 脚本的 actionban 中。请注意，如果其 maxretry > 1，那么您将无法捕获主机仅发生一次故障的 CIDR 块！

#!/usr/bin/python

import sys, subprocess, ipaddress, syslog

def narrowest_cidr(cidrA, cidrB):
    _ip, subA = cidrA.split('/')
    _ip, subB = cidrB.split('/')

    if int(subA) > int(subB):
        return cidrA
    else:
        return cidrB

bad_ip = sys.argv[1]
cidrs = []
inetnums = []
ret = None

whois = subprocess.run(['whois', bad_ip], text=True,
        stdout=subprocess.PIPE, check=True)

for line in whois.stdout.split('\n'):
    if 'CIDR:' in line:
        cidrs.append(line.replace('CIDR:', '').strip())
    if 'inetnum:' in line:
        inetnums.append(line.replace('inetnum:', '').strip())

if len(cidrs) >= 1:
    if len(cidrs) == 1:
        cidr = cidrs[0]
    else:
        cidr = narrowest_cidr(cidrs[0], cidrs[-1])
elif len(inetnums) > 0:
    if len(inetnums) == 1:
        inetnum = inetnums[0]
        startip, endip = inetnum.split(' - ')
        cidrs = [ipaddr for ipaddr in ipaddress.summarize_address_range(ipaddress.IPv4Address(startip), ipaddress.IPv4Address(endip))]
        if len(cidrs) == 1:
            cidr = cidrs[0]
        else:
            cidr = narrowest_cidr(cidrs[0], cidrs[-1])
else:
    cidr = "no CIDR found"

syslog.openlog(ident="suspectrange")
syslog.syslog("{} has CIDR {}".format(bad_ip, cidr))

第 2 步：确定何时阻止 CIDR

如果我们有动态 CIDR 确定，这可能会变得有点复杂，因为我们必须更改要禁止的内容。但是使用 whois 查询，我们可以根据我们认为合适的 maxretry 和 findtime 简单地禁止我们找到的 CIDR 块。这是我使用的 jail：

[fail2ban-cidr-recidive]
filter = fail2ban-cidr-recidive
action = nftables-common[name=BADRANGE]
logpath = /var/log/everything/current

#5 bans in 12hrs is 48hr ban
maxretry = 5
findtime = 12h
bantime = 2d

及配套过滤器

[Definition]

failregex = \[suspectrange\] .* has CIDR <SUBNET>

步骤 3. 实际阻止 CIDR

您可能已经注意到，我使用了 action.d/nft-common.conf。nftables 允许阻止 CIDR 块而不是单个主机。这需要对操作脚本的 actionstart 部分的第一行进行一些小改动：

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; \}

应修改为：

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; flags interval\; \}

Answer 1

Fail2ban 没有自动检测和阻止 IP 范围的简洁功能。不过，可以使用较新版 fail2ban（我使用的是 v0.11）、一些简单的 fail2ban 脚本和一个小型纯 python3 脚本来实现。

注意：问题涉及 IP 范围（我将其称为 CIDR 块，因为我发现 CIDR 表示法在 nftables 中易于使用）。这是一件困难的事情，因为我们不知道攻击者控制的地址块有多大。甚至可能攻击者偶然控制了同一块中的少数地址，而中间的地址是合法的。

步骤 1. 获取主机的 CIDR

fail2ban 监控的日志文件通常显示主机（例如 127.0.0.1）而不是 CIDR 块（127.0.0.0/24）或 IP 范围（127.0.0.0 - 127.0.0.255）。

一种解决方案可能是首先假设一个较小的 CIDR 块，然后随着日志报告更多行为不当的主机而增大它。显然，只有当这些主机来自相邻地址时，它才应该增大 CIDR。但这很复杂，无论算法多么复杂，合法地址都可能被卷入其中。

相反，我们也可以简单地在 whois 中查找 CIDR。这会导致 whois 查找出现一些延迟，并产生一些流量。但解析 whois 的脚本可以将 CIDR 写入 syslog，然后 fail2ban 可以再次捕获它。

注意：不要忘记将此脚本挂接到您首选的 action.d/lorem-ipsum.conf 脚本的 actionban 中。请注意，如果其 maxretry > 1，那么您将无法捕获主机仅发生一次故障的 CIDR 块！

#!/usr/bin/python

import sys, subprocess, ipaddress, syslog

def narrowest_cidr(cidrA, cidrB):
    _ip, subA = cidrA.split('/')
    _ip, subB = cidrB.split('/')

    if int(subA) > int(subB):
        return cidrA
    else:
        return cidrB

bad_ip = sys.argv[1]
cidrs = []
inetnums = []
ret = None

whois = subprocess.run(['whois', bad_ip], text=True,
        stdout=subprocess.PIPE, check=True)

for line in whois.stdout.split('\n'):
    if 'CIDR:' in line:
        cidrs.append(line.replace('CIDR:', '').strip())
    if 'inetnum:' in line:
        inetnums.append(line.replace('inetnum:', '').strip())

if len(cidrs) >= 1:
    if len(cidrs) == 1:
        cidr = cidrs[0]
    else:
        cidr = narrowest_cidr(cidrs[0], cidrs[-1])
elif len(inetnums) > 0:
    if len(inetnums) == 1:
        inetnum = inetnums[0]
        startip, endip = inetnum.split(' - ')
        cidrs = [ipaddr for ipaddr in ipaddress.summarize_address_range(ipaddress.IPv4Address(startip), ipaddress.IPv4Address(endip))]
        if len(cidrs) == 1:
            cidr = cidrs[0]
        else:
            cidr = narrowest_cidr(cidrs[0], cidrs[-1])
else:
    cidr = "no CIDR found"

syslog.openlog(ident="suspectrange")
syslog.syslog("{} has CIDR {}".format(bad_ip, cidr))

第 2 步：确定何时阻止 CIDR

如果我们有动态 CIDR 确定，这可能会变得有点复杂，因为我们必须更改要禁止的内容。但是使用 whois 查询，我们可以根据我们认为合适的 maxretry 和 findtime 简单地禁止我们找到的 CIDR 块。这是我使用的 jail：

[fail2ban-cidr-recidive]
filter = fail2ban-cidr-recidive
action = nftables-common[name=BADRANGE]
logpath = /var/log/everything/current

#5 bans in 12hrs is 48hr ban
maxretry = 5
findtime = 12h
bantime = 2d

及配套过滤器

[Definition]

failregex = \[suspectrange\] .* has CIDR <SUBNET>

步骤 3. 实际阻止 CIDR

您可能已经注意到，我使用了 action.d/nft-common.conf。nftables 允许阻止 CIDR 块而不是单个主机。这需要对操作脚本的 actionstart 部分的第一行进行一些小改动：

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; \}

应修改为：

actionstart = nft add set netdev f2b <set_name> \{ type ipv4_addr\; flags interval\; \}

fail2ban 可以检测并阻止 IP 范围吗？

答案1

步骤 1. 获取主机的 CIDR

第 2 步：确定何时阻止 CIDR

步骤 3. 实际阻止 CIDR

相关内容