Discussion Pour le tuto Sécurisation & Logs V3 : https://mondedie.fr/d/5318-Tuto-Securisation-Logs-V-3-nginx

Un GRAND merci ex_rat Version 2.0 du tuto presque parfaite. J'aurai une question sur la sécurisation SSH, lorsque que on a bloqué le login root et autorise un user perso créé, Il y a un moyen de pouvoir avoir les droits root sur filezilla en sftp avec l'user perso ?

Non. Pour avoir les droits root c'est soit utiliser sudo (pas possible avec filezilla) soit changer l'uid = 0 ce qui revient à renommer le user root en autre chose.

Merci beaucoup pour ce tuto très clair ! Je débute avec mon dédié Kimsufi et j'ai pu tout paramétrer sans problème, beau boulot.

Merci Par contre y'a un os, pas trop embêtant parce que ça risque pas grand chose mais quand même... Je m'étais jamais trop penché sur fail2ban mais la config' pour lighttpd qu'on retrouve sur tout les tuto qui trainent marche pas vraiment. Les 3 fichiers de conf "apache-truc" qu'on utilise en /etc/fail2ban/filter.d/ ne voient rien passer. C'est pour ça qu'on ramasse des bots "myphpadmin" en rafale entre autre. Pareil pour les tentatives d'identification à la porte de rutorrent, ça ban quedale Je teste quelques trucs... Pour l'identification j'ai ça déjà qui marche pas mal même si ça ne ban que si le guignol utilise un pseudo existant sur la box (pas trouvé pour un "toto" mais c'est moins gênant) On édite : nano /etc/fail2ban/filter.d/apache-auth.conf On efface tout et on colle à la place : # Fail2Ban configuration file # for lighttpd htdigest [Definition] # Option: failregex # Notes.: regex to match the password failure messages in the logfile. # Values: TEXT failregex = .*http_auth.*wrong password.*IP: <HOST>\s*$ .*http_auth.*password doesn\'t match.*IP: <HOST>\s*$ # Option: ignoreregex # Notes.: regex to ignore. If this regex matches, the line is ignored. # Values: TEXT ignoreregex = Et on relance fail2ban : /etc/init.d/fail2ban restart J'ai testé c'est ok, je viens de bannir ma mère au bout de 3 tentatives. "Mais t'es sur que je vais pas avoir d'ennuis ?!?" 🙂) J'ai un truc aussi pour les bots phpmyadmin mais j'attends d'avoir plus de retour sur mon test, je manque de pénibles sur le serveur pour l'instant. Votre avis sur la question m’intéresse grandement et si vous pouvez confirmer... Et pas facile "regex" au passage. Ex.

Oui c'est ça, j'ai une regex en stock pour nginx pour ceux qui voudrons passer à nginx quand j'aurais fait le tuto.

Ok je ferais la mise à jour un peu plus tard avec des règles propres. On suit des trucs sans les comprendre et on fait pornawak, c'est malheureux Edit: J'ai corrigé la partie Fail2Ban / Lighttpd avec ajout d'un filtre anti-script, ça marche pas mal du tout Ajout dans la règle anti script de fail2ban d'une ligne anti wootwoot qui marche pas mal du tout.

Bonjour et merci a ex_rat pour ce tuto. Tous c'est parfaitement dérouler, par contre je n'ai pas encore osé toucher la partie sécurité ssh.Du coup j'ai aussi sauté l’étape portsentry. De toute façon je me suis aperçu que dans les mails reçus par fail2ban la plupart des tentatives ont été effectuées sur des ports autre que le 22. J'ai juste 2, 3 questions: - Sur la partie "postfix" pour rediriger les mails vers root a quoi sert pour appliquer les changements `newaliases` Moi j'ai fait `/etc/aliases` modifier en `/etc/newaliases`.Au début j'avais créé un newaliases dans aliases mais cela ne me retourner aucun mail. - Dans la partie "logwatch", on edit le fichier `/usr/share/logwatch/default.conf/logfiles/lighttpd.conf` et on modifie les valeurs. J'ai supprimé la totalité des lignes et j'ai copié les lignes du tuto `LogFile = lighttpd/*access_log......ect` - Et pour finir sur la partie fail2ban mais je crois que du coup c'est bon puisque je reçois les logs par mail sur la création des deux filtres pour Lighttpd.Dans les fichiers, on remplace *HOST* par rien ? Merci.

Salut - Pour ta question sur logwatch, il y a juste l'adresse mail à modifier, le reste des commandes se tape tel quel sans rien changer: nano /etc/aliases Et rajouter à la fin : root: ton_mail@mail.com Tu enregistres la modif' : (ctrl X... Y...) Et après seulement, quand t'es "revenu" sur ta console tu tapes pour valider les changements : newaliases - Pour ta question sur HOST, on laisse comme ça dans les règles sans rien modifier. Par contre, ne fait pas l'impasse sur la sécu SSH, c'est le plus important avec fail2ban, et penses après a modifier le port surveillé par fail2ban pour qu'il fasse son boulot Bon courage Ex.

Salut , je doit bien avoir tous fait car je reçois parfaitement tous les mails. C'est aussi ok pour la partie SSH. Par contre comment supprimer quelques lignes dans le logserver ? Tu compte faire une partie pour AWStats ? ça permet bien de vérifier toutes les adresses ip banni sur le serveur? sudo nano checklist_ban Merci.

Pour AWStats il y avait ça dans l'ancien post sécurité qui est un peu plus bas sur la première page. Mais d'après les commentaires il y avait des soucis donc j'ai pas remis au propre, si quelqu’un a un tuto 100% fonctionnel, qu'il hésite pas Logserver, y'a une rotation du log sur 7 jours, c'est vrai qu'en fin de semaine le fichier est un peu lourd mais c'est pas trop gênant, j'ai pas soluce pour faire plus light mais si quelqu’un a ça et veut faire évoluer le truc avec un script ou autre idée, il est le bienvenue.... Fail2ban utilise Iptables, d'après la faq pour voir les ban en cours: `iptables -L` Pour un log plus parlant voir ici en bas de page: FAQ Fail2ban , faut ajouter des trucs dans les actions de jail.local Après y'a toujours moyen de voir les dernières entrées et suivre ça en live dans fail2ban.log quand y'a rien à la tv : tail -f -n 50 /var/log/fail2ban.log | ccze (toujours avec des jolies couleurs, parce que j'aime bien ! ) Ex.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd} : Page 2

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd}

ex_rat

Je repensais au soucis, ça sent le fail2ban quand même... J'ai remis le tuto avec un bantimes de 10 minutes pour avoir un petit droit à l'erreur des fois que...
Ex.

ex_rat

Franck, tentes avec celui là
http://pastebin.com/iXSe2biK
On va y arriver à force

franck

Ouaiiiii.... pour lighttpd ça marche nickel... plus d'erreur.
Merci.

franck

erreur avec la petite modif dans nano...

Erreur dans /etc/nanorc (ligne 302)Â : Erreur lors de la lecture de \"/usr/share/nano/ini.nanorc\"Â : Aucun fichier ou dossier de ce type

Erreur dans /etc/nanorc (ligne 305)Â : Erreur lors de la lecture de \"/usr/share/nano/xorg.nanorc\"Â : Aucun fichier ou dossier de ce type

Erreur dans /etc/nanorc (ligne 308)Â : Erreur lors de la lecture de \"/usr/share/nano/conf.nanorc\"Â : Aucun fichier ou dossier de ce type

Appuyez sur Â«Â EntrÃ©eÂ Â» pour poursuivre le dÃ©marrage de nano.

et les fichiers sont bien dans le dossier nano..

franck

erreur en fin de configuration de fail2ban après avoir remplacer
action = %(action_)s
par
action = %(action_mwl)

[....] Restarting authentication failure monitor: fail2banTraceback (most recent call last):
File "/usr/bin/fail2ban-client", line 404, in <module>
if client.start(sys.argv):
File "/usr/bin/fail2ban-client", line 373, in start
return self.__processCommand(args)
File "/usr/bin/fail2ban-client", line 183, in __processCommand
ret = self.__readConfig()
File "/usr/bin/fail2ban-client", line 378, in __readConfig
ret = self.__configurator.getOptions()
File "/usr/share/fail2ban/client/configurator.py", line 68, in getOptions
return self.__jails.getOptions(jail)
File "/usr/share/fail2ban/client/jailsreader.py", line 67, in getOptions
ret = jail.getOptions()
File "/usr/share/fail2ban/client/jailreader.py", line 73, in getOptions
self.__opts = ConfigReader.getOptions(self, self.__name, opts)
File "/usr/share/fail2ban/client/configreader.py", line 87, in getOptions
v = self.get(sec, option[1])
File "/usr/lib/python2.7/ConfigParser.py", line 623, in get
return self._interpolate(section, option, value, d)
File "/usr/lib/python2.7/ConfigParser.py", line 691, in _interpolate
self._interpolate_some(option, L, rawval, section, vars, 1)
File "/usr/lib/python2.7/ConfigParser.py", line 716, in _interpolate_some
"bad interpolation variable reference %r" % rest)
ConfigParser.InterpolationSyntaxError: bad interpolation variable reference '%(action_mwl)'
failed!

ex_rat

Cool pour le lighttpd.conf !
Pour le reste c'est très bizarre, t'es sur que ton putty est bien calé en utf-8 (dans les options: windows/translation) ?
Parce que le petit truc des couleur pour nano a déjà servi 3 millions de fois sans jamais poser soucis et ça pourrait expliquer la plupart de tes galères.
Ex.

Edit: Pour fail2ban, j'ai édité le tuto pour que ce soit plus clair parce qu'il faut laisser le S à la fin de la ligne (c'est de ma faute, c'était pas assez explicite

)

action = %(action_mwl)s

mais vérifie quand même l'histoire de l'utf-8 !

franck

fail2ban (+1).... ça fonctionne tu es un chef...... 🙂>-
en effet... UTF8 n'était pas sélectionner.....??? bon j'ai corrigé cela, mais nano toujours pareil...

ex_rat

Bien !

Pour nano, tente de virer ça:

On ouvre le fichier de conf de Nano

nano /etc/nanorc

Et ajouter à la fin

## Config Files (.ini)
include \"/usr/share/nano/ini.nanorc\"

## Xorg.conf
include \"/usr/share/nano/xorg.nanorc\"

## Generic.conf
include \"/usr/share/nano/conf.nanorc\"

Enregistre et recommence, avec un peu de bol...

ex_rat

Si ça marche pas, en voilà un déjà patché à la fin

http://www.ratbox.nl/md/nanorc
Si ça couine encore sort de la console et relogg toi pour être sur qu'il recharge bien la conf

Magicalex

J'utilise vim perso :-\"

franck

J'ai comparé les deux fichiers et j'ai viré les ( \ )

avec :

## Config Files (.ini)
include \"/usr/share/nano/ini.nanorc\"

## Xorg.conf
include \"/usr/share/nano/xorg.nanorc\"

## Generic.conf
include \"/usr/share/nano/conf.nanorc\"

sans :

## Config Files (.ini)
include "/usr/share/nano/ini.nanorc"

## Xorg.conf
include "/usr/share/nano/xorg.nanorc"

## Generic.conf
include "/usr/share/nano/conf.nanorc"

et tous fonctionne.... ( +1) ^🙂^

Magicalex

ça on va le rajouter au tuto principale l'astuce pour nano. quand j'aurais un peu plus de temps..

ex_rat

Bien joué Franck

le putty qu'est pas en utf-8 c'est fatal ça... Le mieux c'est de le mettre par défaut comme ça on oublie plus après.

Vim j'ose pas encore mais on va forcement y venir

et le p'tit truc pour Nano aide vraiment beaucoup, pas normal que ce soit pas mis par défaut à l'install
Sur ce, bonne nuit tout le monde !
Ex.

XciD69

Salut à tous,

Bon boulot ex_rat pour cet V2, j'ai du y laisser pas mal de coquille

ex_rat

Je te remercie !
J'ai utilisé tellement souvent le 1er que c'était une évidence de continuer à le développer

Ex.

fabinux

Bonjour,
Je viens de m'inscrire sur ce site pour vraiment vous dire : " Un Grand Merci

"
Ce tuto fonctionne très bien, les ptits mails de "Ban" le matin au café me rassure beaucoup

Très bon boulot c'est génial

ex_rat

Merci

Pour les mails de fail2ban, au bout d'un moment on les désactive parce que ça finit par faire beaucoup de courrier

Ex.

balou86

Enorme !!

Un petit moment que je n'etais pas repassé sur Mondedié, la refonte des tutos est top !! Sacré boulot, chapeau !

J'ai refait toute une install Debian 7 x64, rutorrent, fail2ban et tout le tralala comme qui rigole

...

Par contre je bloque sur un truc qui m'a l'air un peu stupide... j'aime beaucoup les alias pour iptables, ban/unban.sh ;
sauf que pour unban.sh, quand je me loggue en root je vois ce msg

bash: alias: /usr/share/scripts/unban.sh: not found

unban me donne un "command not found", et bien sur, le script est bien toujours la...

root@sb:/usr/share/scripts# ls -l
total 8
-rwxr-xr-x 1 root root 376 Feb 26 10:00 ban.sh
-rwxr-xr-x 1 root root 372 Feb 26 10:00 unban.sh

ex_rat

Alors désolé, je vois pas du tout ce qui peut coincer

Dans ton /root/.bashrc t'as bien vérifié j'imagine ? c'est bien :

alias ban='sh /usr/share/scripts/ban.sh
alias unban='sh /usr/share/scripts/unban.sh

Commente la ligne qui coince et on va attendre un autre avis

Ex.

Magicalex

vous fermez pas les guillemets?

« Page précédente Page suivante »