Discussion Pour le tuto Sécurisation & Logs V3 : https://mondedie.fr/d/5318-Tuto-Securisation-Logs-V-3-nginx

Un GRAND merci ex_rat Version 2.0 du tuto presque parfaite. J'aurai une question sur la sécurisation SSH, lorsque que on a bloqué le login root et autorise un user perso créé, Il y a un moyen de pouvoir avoir les droits root sur filezilla en sftp avec l'user perso ?

Non. Pour avoir les droits root c'est soit utiliser sudo (pas possible avec filezilla) soit changer l'uid = 0 ce qui revient à renommer le user root en autre chose.

Merci beaucoup pour ce tuto très clair ! Je débute avec mon dédié Kimsufi et j'ai pu tout paramétrer sans problème, beau boulot.

Merci Par contre y'a un os, pas trop embêtant parce que ça risque pas grand chose mais quand même... Je m'étais jamais trop penché sur fail2ban mais la config' pour lighttpd qu'on retrouve sur tout les tuto qui trainent marche pas vraiment. Les 3 fichiers de conf "apache-truc" qu'on utilise en /etc/fail2ban/filter.d/ ne voient rien passer. C'est pour ça qu'on ramasse des bots "myphpadmin" en rafale entre autre. Pareil pour les tentatives d'identification à la porte de rutorrent, ça ban quedale Je teste quelques trucs... Pour l'identification j'ai ça déjà qui marche pas mal même si ça ne ban que si le guignol utilise un pseudo existant sur la box (pas trouvé pour un "toto" mais c'est moins gênant) On édite : nano /etc/fail2ban/filter.d/apache-auth.conf On efface tout et on colle à la place : # Fail2Ban configuration file # for lighttpd htdigest [Definition] # Option: failregex # Notes.: regex to match the password failure messages in the logfile. # Values: TEXT failregex = .*http_auth.*wrong password.*IP: <HOST>\s*$ .*http_auth.*password doesn\'t match.*IP: <HOST>\s*$ # Option: ignoreregex # Notes.: regex to ignore. If this regex matches, the line is ignored. # Values: TEXT ignoreregex = Et on relance fail2ban : /etc/init.d/fail2ban restart J'ai testé c'est ok, je viens de bannir ma mère au bout de 3 tentatives. "Mais t'es sur que je vais pas avoir d'ennuis ?!?" 🙂) J'ai un truc aussi pour les bots phpmyadmin mais j'attends d'avoir plus de retour sur mon test, je manque de pénibles sur le serveur pour l'instant. Votre avis sur la question m’intéresse grandement et si vous pouvez confirmer... Et pas facile "regex" au passage. Ex.

Oui c'est ça, j'ai une regex en stock pour nginx pour ceux qui voudrons passer à nginx quand j'aurais fait le tuto.

Ok je ferais la mise à jour un peu plus tard avec des règles propres. On suit des trucs sans les comprendre et on fait pornawak, c'est malheureux Edit: J'ai corrigé la partie Fail2Ban / Lighttpd avec ajout d'un filtre anti-script, ça marche pas mal du tout Ajout dans la règle anti script de fail2ban d'une ligne anti wootwoot qui marche pas mal du tout.

Bonjour et merci a ex_rat pour ce tuto. Tous c'est parfaitement dérouler, par contre je n'ai pas encore osé toucher la partie sécurité ssh.Du coup j'ai aussi sauté l’étape portsentry. De toute façon je me suis aperçu que dans les mails reçus par fail2ban la plupart des tentatives ont été effectuées sur des ports autre que le 22. J'ai juste 2, 3 questions: - Sur la partie "postfix" pour rediriger les mails vers root a quoi sert pour appliquer les changements `newaliases` Moi j'ai fait `/etc/aliases` modifier en `/etc/newaliases`.Au début j'avais créé un newaliases dans aliases mais cela ne me retourner aucun mail. - Dans la partie "logwatch", on edit le fichier `/usr/share/logwatch/default.conf/logfiles/lighttpd.conf` et on modifie les valeurs. J'ai supprimé la totalité des lignes et j'ai copié les lignes du tuto `LogFile = lighttpd/*access_log......ect` - Et pour finir sur la partie fail2ban mais je crois que du coup c'est bon puisque je reçois les logs par mail sur la création des deux filtres pour Lighttpd.Dans les fichiers, on remplace *HOST* par rien ? Merci.

Salut - Pour ta question sur logwatch, il y a juste l'adresse mail à modifier, le reste des commandes se tape tel quel sans rien changer: nano /etc/aliases Et rajouter à la fin : root: ton_mail@mail.com Tu enregistres la modif' : (ctrl X... Y...) Et après seulement, quand t'es "revenu" sur ta console tu tapes pour valider les changements : newaliases - Pour ta question sur HOST, on laisse comme ça dans les règles sans rien modifier. Par contre, ne fait pas l'impasse sur la sécu SSH, c'est le plus important avec fail2ban, et penses après a modifier le port surveillé par fail2ban pour qu'il fasse son boulot Bon courage Ex.

Salut , je doit bien avoir tous fait car je reçois parfaitement tous les mails. C'est aussi ok pour la partie SSH. Par contre comment supprimer quelques lignes dans le logserver ? Tu compte faire une partie pour AWStats ? ça permet bien de vérifier toutes les adresses ip banni sur le serveur? sudo nano checklist_ban Merci.

Pour AWStats il y avait ça dans l'ancien post sécurité qui est un peu plus bas sur la première page. Mais d'après les commentaires il y avait des soucis donc j'ai pas remis au propre, si quelqu’un a un tuto 100% fonctionnel, qu'il hésite pas Logserver, y'a une rotation du log sur 7 jours, c'est vrai qu'en fin de semaine le fichier est un peu lourd mais c'est pas trop gênant, j'ai pas soluce pour faire plus light mais si quelqu’un a ça et veut faire évoluer le truc avec un script ou autre idée, il est le bienvenue.... Fail2ban utilise Iptables, d'après la faq pour voir les ban en cours: `iptables -L` Pour un log plus parlant voir ici en bas de page: FAQ Fail2ban , faut ajouter des trucs dans les actions de jail.local Après y'a toujours moyen de voir les dernières entrées et suivre ça en live dans fail2ban.log quand y'a rien à la tv : tail -f -n 50 /var/log/fail2ban.log | ccze (toujours avec des jolies couleurs, parce que j'aime bien ! ) Ex.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd} : Page 13

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd}

davidmaro

supp

matthias_demauroy

Tout d'abord un très grand MERCI !!!

Grâce à ce tuto et bien d'autres présents sur ce magnifique site j'ai pu installer mon serveur en toute simplicité

Mais (parce que il y a toujours un "mais") j'ai un petit détail que je n'arrive pas à solutionner...

La connexion ssh me pose quelque soucis, je suis totalement incapable de me connecter de mon domicile...
J'ai beau essayer sur mac, ubuntu, Windows avec Putty et Kitty... rien n'y fait je tombe toujours sur un "connection timed out".

Lorsque je tente une connexion sur le port standard, le 22, j'ai le droit à "Connection refused" (ce qui me semble tout à fait normal ceci-dit !).

Alors qu'a mon travail la connexion est instantanée... ah oui et aussi, petit détail bizarre, j'ai déjà réussis à me connecter de chez moi plusieurs fois mais depuis 3 ou 4 semaines impossible.

J'espère que quelqu'un pourra m'aider...

Merci d'avance

Solinvictus

matthias_demauroy wrote:Tout d'abord un très grand MERCI !!!

Grâce à ce tuto et bien d'autres présents sur ce magnifique site j'ai pu installer mon serveur en toute simplicité

Mais (parce que il y a toujours un "mais") j'ai un petit détail que je n'arrive pas à solutionner...

La connexion ssh me pose quelque soucis, je suis totalement incapable de me connecter de mon domicile...
J'ai beau essayer sur mac, ubuntu, Windows avec Putty et Kitty... rien n'y fait je tombe toujours sur un "connection timed out".

Lorsque je tente une connexion sur le port standard, le 22, j'ai le droit à "Connection refused" (ce qui me semble tout à fait normal ceci-dit !).

Alors qu'a mon travail la connexion est instantanée... ah oui et aussi, petit détail bizarre, j'ai déjà réussis à me connecter de chez moi plusieurs fois mais depuis 3 ou 4 semaines impossible.

J'espère que quelqu'un pourra m'aider...

Merci d'avance 😀

Ca sent le ban IP de ton domicile ça, non ? Si tu utilises fail2ban, il faudrait que tu te connectes du taf, et que tu regardes si ton adresse IP domicile n'a pas été ban.

matthias_demauroy

Merci pour ta rapidité Solinvictus !

Je suis pas un balèze à ce niveau, je trouve la liste des ban ip(s) à quel niveau, dans jail.local (il me semble pas c'est un fichier de conf ça non ...) ?

matthias_demauroy

Pour info j'ai lancé un "fail2ban-client status ssh"

Et j'ai dans IP list:

Et bah j'ai rien...

Solinvictus

Tu peux faire un :

iptables -L INPUT -v -n

ou si tu connais ton IP :

iptables -L INPUT -v -n | grep "ton.ip"

matthias_demauroy

J'ai lancé le iptables avec grep et je n'ai rien en retour.

Si ça peux aiguiller quelqu'un j'ai ça dans mes logs journalier :

--------------------- SSHD Begin ------------------------
SSHD Started: 1 Time(s)

Refused incoming connections:
79.85.156.171 (79.85.156.171): 17 Time(s)
---------------------- SSHD End -------------------------

ex_rat

Salut
Vérifie que ton ip soit pas la dedans des fois que:

nano /etc/hosts.deny

Si oui tu l'effaces (et il faudra peut-être rebooter le machin après, je sais plus...)
Ex.

matthias_demauroy

Si elle était bien dedans et 3 fois !!!

Je viens de redémarrer le bouzin.

Je vous tiens au jus

matthias_demauroy

Merci Solinvictus & ex_rat !

J'arrive de nouveau a y accéder 😀, comme dirait l'autre "ça fait plaisir" !

Sinon à votre avis d'où peux venir ce blocage ? J'ai pourtant réussis à m'y connecter quelques semaines auparavant...

Histoire que je comprenne le pourquoi du comment pour ne pas que ça ce reproduise.

Encore merci pour votre aide et votre réactivité exemplaire !!

ex_rat

Cool

Tu as suivi le tuto sécu ? Si oui, portsentry est un peu expéditif des fois...
Dans le tuto j'explique comment mettre une ip en white list dans le fichier:

nano /etc/portsentry/portsentry.ignore.static

Sinon y'a d'autre truc qui utilise aussi hosts.deny mais je connais pas trop là.
Ex.

Solinvictus

matthias_demauroy wrote:Merci Solinvictus & ex_rat !

J'arrive de nouveau a y accéder 😀, comme dirait l'autre "ça fait plaisir" !

Sinon à votre avis d'où peux venir ce blocage ? J'ai pourtant réussis à m'y connecter quelques semaines auparavant...

Histoire que je comprenne le pourquoi du comment pour ne pas que ça ce reproduise.

Encore merci pour votre aide et votre réactivité exemplaire !!

Comment elle se retrouve dans le host.deny ? Bonne question ! Ce que tu peux pour que ça ne se reproduise pas, c'est l'ajouter dans le jail.conf :

Cherche la ligne "ignoreip" en début du jail.conf ou ajoute-la si elle n'existe pas.

ignoreip = xx.xx.xx.xx

matthias_demauroy

J'ai suivi vos 2 conseils et redémarré les 2 services !

Espérons que mon fournisseur d'accès ne s'amuse pas à me modifier mon IP trop souvent...

Bonne journée à tous et longue vie à mondedie !!!

Magicalex

matthias_demauroy wrote:J'ai suivi vos 2 conseils et redémarré les 2 services !

Espérons que mon fournisseur d'accès ne s'amuse pas à me modifier mon IP trop souvent...

Bonne journée à tous et longue vie à mondedie !!!

Ton ip est dynamique normalement, donc à chaque redémarre de ta box, ton FAI t'attribue de manière transparente une nouvelle adresse ip.
ps: tu peux normalement modifier se comportement, ce qui est déconseillé pour des raisons de sécurité. (en gros pour ne pas être trop facilement retrouvable sur la toile)

DmX

Bonjour,

Je viens de tester le tuto sur un nouveau serveur, pas de problème particulier tout fonctionne bien par contre, je remarque l'absence de log ou je regarde peut être au mauvais endroit.

J'ai pas mal d'entrée dans /etc/hosts.deny mais rien dans /var/log/* qui décrit la raison du ban.
J'ai également aucun mail de ban malgré la présence de action_mwl dans le fail2ban mais je reçois bien les mail pour dire que fail2ban a bien démarré.

Du coup je pense que c'est portsentry qui bloque mais je trouve pas son fichier de log, une idée ?

D'ailleurs il serait pas mal d'ajouter dans hosts.deny : ALL: x.x.x.x : DENY By Fail2ban / portsentry

Merci.

ex_rat

Salut
Fail2ban n'utilise pas /etc/hosts.deny mais iptables, pour voir tes bans:

iptables -L

pour tes mails, vérifie que tu as bien fait la modif au bon endroit dans le fichier jail.local:

# Choose default action.  To change, just override value of 'action' with the
# interpolation to the chosen action shortcut (e.g.  action_mw, action_mwl, etc) in jail.local
# globally (section [DEFAULT]) or per specific section
action = %(action_mwl)s
#
# JAILS

Cette partie du fichier est un peu fouillis et y'a matière à se louper. Toujours penser à reloader suite à modif

Tout ce que tu trouves dans host.deny vient bien de Portsentry, une armée de bots qui scan...
Ex.

DmX

Salut,

Merci pour ta réponse, j'avais zapé que F2B passait par iptables..
Je vais retester =)

spider1163

Salut,

Sous Portsentry, il y a une coquille (double N) :

nano /etc/hosts.denny

ex_rat

Salut
C'est corrigé pour hosts.deny merci

Ex.

pierresnake

Salutations !

Bon, j'ai débuté avec ce tuto : http://mondedie.fr/d/5394 puis celui sur la securisation. Tout me semble ok sauf que je n'ai plus d'accès SFTP / FTP (ce qui n'est pas cool). Je ne vois pas trop ce qui pose souci (ni comment chercher à vrai dire 😀).

Accès SSH toujours ok.

Quelqu'un peut me guider ?

« Page précédente Page suivante »