fail2ban運用方法
どこからでもsshができるような、踏み台ホストを運用しています。
fail2banを入れているのですが、ほんとアタックが多くて困りますねぇ。24時間で8,998件もBanしています。Banのルールは4回の認証失敗です。
![](https://blog.teraren.com/wp-content/uploads/2020/06/image-36-1024x76.png)
次に、現時点のiptablesでのDROPに入っているIPアドレスは114個です。
![](https://blog.teraren.com/wp-content/uploads/2020/06/image-37-1024x72.png)
無駄なアタックを容認していると、こちらのCPUリソースやネットワークリソースを食うので、止む終えない理由で22番ポートを開放している場合はfail2banのインストールは必須かと思います。
どのくらいアタックが来ているか?
banされたら、メールが来るような設定をしていると、こんぐらいの頻度でアタックが来ています。。。
![](https://blog.teraren.com/wp-content/uploads/2020/06/image-38-584x1024.png)
fail2banのブロックしているホスト数をmackerelでグラフ化
メールの通知がたくさんくるので、1回ブロックしても再度アタックしてくるホストがたくさん居ることがわかります。
ということで、パスワードはミスらないように注意するという運用と引き換えに、1回banをしたら1年間は解除しないように設定しました。
bantime = 31536000 ; 1 year
mackerelのカスタムメトリックでグラフ化するときの設定はこちら。
Comments