Discussion Pour le tuto Sécurisation & Logs V3 : https://mondedie.fr/d/5318-Tuto-Securisation-Logs-V-3-nginx

Un GRAND merci ex_rat Version 2.0 du tuto presque parfaite. J'aurai une question sur la sécurisation SSH, lorsque que on a bloqué le login root et autorise un user perso créé, Il y a un moyen de pouvoir avoir les droits root sur filezilla en sftp avec l'user perso ?

Non. Pour avoir les droits root c'est soit utiliser sudo (pas possible avec filezilla) soit changer l'uid = 0 ce qui revient à renommer le user root en autre chose.

Merci beaucoup pour ce tuto très clair ! Je débute avec mon dédié Kimsufi et j'ai pu tout paramétrer sans problème, beau boulot.

Merci Par contre y'a un os, pas trop embêtant parce que ça risque pas grand chose mais quand même... Je m'étais jamais trop penché sur fail2ban mais la config' pour lighttpd qu'on retrouve sur tout les tuto qui trainent marche pas vraiment. Les 3 fichiers de conf "apache-truc" qu'on utilise en /etc/fail2ban/filter.d/ ne voient rien passer. C'est pour ça qu'on ramasse des bots "myphpadmin" en rafale entre autre. Pareil pour les tentatives d'identification à la porte de rutorrent, ça ban quedale Je teste quelques trucs... Pour l'identification j'ai ça déjà qui marche pas mal même si ça ne ban que si le guignol utilise un pseudo existant sur la box (pas trouvé pour un "toto" mais c'est moins gênant) On édite : nano /etc/fail2ban/filter.d/apache-auth.conf On efface tout et on colle à la place : # Fail2Ban configuration file # for lighttpd htdigest [Definition] # Option: failregex # Notes.: regex to match the password failure messages in the logfile. # Values: TEXT failregex = .*http_auth.*wrong password.*IP: <HOST>\s*$ .*http_auth.*password doesn\'t match.*IP: <HOST>\s*$ # Option: ignoreregex # Notes.: regex to ignore. If this regex matches, the line is ignored. # Values: TEXT ignoreregex = Et on relance fail2ban : /etc/init.d/fail2ban restart J'ai testé c'est ok, je viens de bannir ma mère au bout de 3 tentatives. "Mais t'es sur que je vais pas avoir d'ennuis ?!?" 🙂) J'ai un truc aussi pour les bots phpmyadmin mais j'attends d'avoir plus de retour sur mon test, je manque de pénibles sur le serveur pour l'instant. Votre avis sur la question m’intéresse grandement et si vous pouvez confirmer... Et pas facile "regex" au passage. Ex.

Oui c'est ça, j'ai une regex en stock pour nginx pour ceux qui voudrons passer à nginx quand j'aurais fait le tuto.

Ok je ferais la mise à jour un peu plus tard avec des règles propres. On suit des trucs sans les comprendre et on fait pornawak, c'est malheureux Edit: J'ai corrigé la partie Fail2Ban / Lighttpd avec ajout d'un filtre anti-script, ça marche pas mal du tout Ajout dans la règle anti script de fail2ban d'une ligne anti wootwoot qui marche pas mal du tout.

Bonjour et merci a ex_rat pour ce tuto. Tous c'est parfaitement dérouler, par contre je n'ai pas encore osé toucher la partie sécurité ssh.Du coup j'ai aussi sauté l’étape portsentry. De toute façon je me suis aperçu que dans les mails reçus par fail2ban la plupart des tentatives ont été effectuées sur des ports autre que le 22. J'ai juste 2, 3 questions: - Sur la partie "postfix" pour rediriger les mails vers root a quoi sert pour appliquer les changements `newaliases` Moi j'ai fait `/etc/aliases` modifier en `/etc/newaliases`.Au début j'avais créé un newaliases dans aliases mais cela ne me retourner aucun mail. - Dans la partie "logwatch", on edit le fichier `/usr/share/logwatch/default.conf/logfiles/lighttpd.conf` et on modifie les valeurs. J'ai supprimé la totalité des lignes et j'ai copié les lignes du tuto `LogFile = lighttpd/*access_log......ect` - Et pour finir sur la partie fail2ban mais je crois que du coup c'est bon puisque je reçois les logs par mail sur la création des deux filtres pour Lighttpd.Dans les fichiers, on remplace *HOST* par rien ? Merci.

Salut - Pour ta question sur logwatch, il y a juste l'adresse mail à modifier, le reste des commandes se tape tel quel sans rien changer: nano /etc/aliases Et rajouter à la fin : root: ton_mail@mail.com Tu enregistres la modif' : (ctrl X... Y...) Et après seulement, quand t'es "revenu" sur ta console tu tapes pour valider les changements : newaliases - Pour ta question sur HOST, on laisse comme ça dans les règles sans rien modifier. Par contre, ne fait pas l'impasse sur la sécu SSH, c'est le plus important avec fail2ban, et penses après a modifier le port surveillé par fail2ban pour qu'il fasse son boulot Bon courage Ex.

Salut , je doit bien avoir tous fait car je reçois parfaitement tous les mails. C'est aussi ok pour la partie SSH. Par contre comment supprimer quelques lignes dans le logserver ? Tu compte faire une partie pour AWStats ? ça permet bien de vérifier toutes les adresses ip banni sur le serveur? sudo nano checklist_ban Merci.

Pour AWStats il y avait ça dans l'ancien post sécurité qui est un peu plus bas sur la première page. Mais d'après les commentaires il y avait des soucis donc j'ai pas remis au propre, si quelqu’un a un tuto 100% fonctionnel, qu'il hésite pas Logserver, y'a une rotation du log sur 7 jours, c'est vrai qu'en fin de semaine le fichier est un peu lourd mais c'est pas trop gênant, j'ai pas soluce pour faire plus light mais si quelqu’un a ça et veut faire évoluer le truc avec un script ou autre idée, il est le bienvenue.... Fail2ban utilise Iptables, d'après la faq pour voir les ban en cours: `iptables -L` Pour un log plus parlant voir ici en bas de page: FAQ Fail2ban , faut ajouter des trucs dans les actions de jail.local Après y'a toujours moyen de voir les dernières entrées et suivre ça en live dans fail2ban.log quand y'a rien à la tv : tail -f -n 50 /var/log/fail2ban.log | ccze (toujours avec des jolies couleurs, parce que j'aime bien ! ) Ex.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd} : Page 14

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd}

ex_rat

Salut
La boulette est surement sur la partie sécurisation ssh /chroot user :

nano /etc/ssh/sshd_config

Vérifie ça déjà ou copie/colle le fichier qu'on voit si quelque chose pique l'oeil.
Et on est d'accord que tu parles de tes users, pas de ton root qui lui n'as plus accès en sftp/ftp après sécurisation (ce qui est le but de la manœuvre) ?
Ex.

pierresnake

ex_rat wrote:Salut
La boulette est surement sur la partie sécurisation ssh /chroot user :
nano /etc/ssh/sshd_config
Vérifie ça déjà ou copie/colle le fichier qu'on voit si quelque chose pique l'oeil.
Et on est d'accord que tu parles de tes users, pas de ton root qui lui n'as plus accès en sftp/ftp après sécurisation (ce qui est le but de la manœuvre) ?
Ex.

Alors, tout d'abord merci

Ensuite, voilà le contenu du fichier (j'ai remplacé mon user SSH et les 2 users Rutorrent).

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22XXX
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 768

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin no
StrictModes yes

# Choix des utilisateurs autorisés à se connecter,
# ajouter l'user qu'on a créé plus haut, plus les utilisateurs de ruTorrent pour qu'ils conservent l'accès en SFTP.
AllowUsers monuserssh userru1 userru2

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

#Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM yes
Subsystem sftp internal-sftp

Match user userru1,userru2
ChrootDirectory /home/%u

ex_rat

Le fichier me parait tout ce qu'il y a de plus correct, du coup je vois pas...
En sftp au moins ça devrait passer, on va attendre une meilleur idée

Tu as quoi de marqué comme erreur en ftp ?
Ex.

pierresnake

Une erreur basique : Erreur réseau : Connexion refusée.

P... nan, mais je suis c... Si je mets le port que j'ai modifié cela fonctionne mieux

Je ne pensais pas que cela impactait le port FTP/SFTP aussi... bon, bah problème réglé : désolé du dérangement

ex_rat

C'est sur que ça va tout de suite mieux en SFTP avec le bon port

Par contre en FTP ça doit passer sur le 21 de manière standard si t'as rien touché pour ça.
Sachant quand même que si tu as suivi le tuto manuel pour l'installation de ruTorrent, il n'y a pas de serveur FTP installé, à toi de la faire en plus.
Ex.

kris06800

Sa m'est arrivé l'autre jour et j'ai juste remis les permission d'user :

chown --recursive <username>:<username> /home/<username>
chown root:<username> /home/<username>
chmod 755 /home/<username>

spider1163

Salut,

Je ne parviens pas à bannir manuellement une IP via fail2ban (OK via iptables) :

r00t ~ > fail2ban-client -vvv set nginx-badbots banip XX.XX.XX.XX
DEBUG  Reading /etc/fail2ban/fail2ban
DEBUG  Reading files: ['/etc/fail2ban/fail2ban.conf', '/etc/fail2ban/fail2ban.local']
INFO   Using socket file /var/run/fail2ban/fail2ban.sock
DEBUG  OK : 'XX.XX.XX.XX'
DEBUG  Beautify 'XX.XX.XX.XX' with ['set', 'nginx-badbots', 'banip', 'XX.XX.XX.XX']
XX.XX.XX.XX

(où XX.XX.XX.XX est l'IP à bannir)

La commande semble OK, mais rien ne change si je vérifie :

r00t ~ > fail2ban-client status nginx-badbots
Status for the jail: nginx-badbots
|- filter
|  |- File list:        /var/log/nginx/access.log /var/log/nginx/rutorrent-access.log
|  |- Currently failed: 1
|  `- Total failed:     8
`- action
   |- Currently banned: 0
   |  `- IP list:
   `- Total banned:     0

Le seul souci que je vois c'est le fichier /etc/fail2ban/fail2ban.local qui n'existe pas, je n'ai que

r00t /etc/fail2ban > ls
action.d  fail2ban.conf  filter.d  jail.conf  jail.local

Une idée ?
Merci

pierresnake

Je me pose quelques questions sur le contenu du rapport que je reçois le matin. Notamment sur cette section :

 --------------------- nginx Begin ------------------------ 

 
 Requests with error response codes
    400 Bad Request
       /w00tw00t.at.ISC.SANS.DFind:): 6 Time(s)
       /: 1 Time(s)
       /tmUnblock.cgi: 1 Time(s)
       http://104.156.57.169/favicon.ico: 1 Time(s)
       http://37.235.56.23/favicon.ico: 1 Time(s)
       http://t18.proxy-checks.com/favicon.ico: 1 Time(s)
       http://t5.proxy-checks.com/favicon.ico: 1 Time(s)
       http://t6.proxy-checks.com/favicon.ico: 1 Time(s)
       http://t8.proxy-checks.com/favicon.ico: 1 Time(s)
    401 Unauthorized
       /: 11 Time(s)
       /rutorrent/: 4 Time(s)
       /MonUser1: 3 Time(s)
       /rutorrent/php/getplugins.php: 3 Time(s)
       /rutorrent/plugins/trafic/action.php: 3 Time(s)
       /%70%68%70%70%61%74%68/%70%68%70?%2D%64+%6 ... 70%75%74+%2D%6E: 2 Time(s)
       /MonUser2: 2 Time(s)
       /mysql: 2 Time(s)
       /rutorrent/plugins/_task/action.php: 2 Time(s)
       /rutorrent/plugins/check_port/action.php: 2 Time(s)
       /rutorrent/plugins/create/action.php: 2 Time(s)
       /rutorrent/plugins/filemanager/flm.php: 2 Time(s)
       /rutorrent/plugins/filemanager/settings.js.php: 2 Time(s)
       /rutorrent/plugins/rss/action.php: 2 Time(s)
       /sql: 2 Time(s)
       http://www.ly.com/: 2 Time(s)
       /MySQLDumper: 1 Time(s)
       /SQLite/SQLiteManager-1.2.4/main.php: 1 Time(s)
       /SQLiteManager-1.2.4/main.php: 1 Time(s)
       /SQLiteManager/main.php: 1 Time(s)
       /SQlite/main.php: 1 Time(s)
       /actionnews/index/: 1 Time(s)
       /admin: 1 Time(s)
       /clientaccesspolicy.xml: 1 Time(s)
       /hudson/login: 1 Time(s)
       /hudson/script: 1 Time(s)
       /jenkins/login: 1 Time(s)
       /jenkins/script: 1 Time(s)
       /jmx-console: 1 Time(s)
       /login: 1 Time(s)
       /manager/html: 1 Time(s)
       /msd: 1 Time(s)
       /msd1.24.4: 1 Time(s)
       /msd1.24stable: 1 Time(s)
       /mySqlDumper: 1 Time(s)
       /myadmin: 1 Time(s)
       /mysqldumper: 1 Time(s)
       /phpMyAdmin: 1 Time(s)
       /phpMyAdmin-4.2.1-all-languages: 1 Time(s)
       /phpMyAdmin-4.2.1-english: 1 Time(s)
       /phpmyadmin: 1 Time(s)
       /script: 1 Time(s)
       /sqlite/main.php: 1 Time(s)
       /sqlitemanager/main.php: 1 Time(s)
       /vtigercrm/: 1 Time(s)
    403 Forbidden
       /: 6 Time(s)
       /mysql: 2 Time(s)
       /sql: 2 Time(s)
       /MySQLDumper: 1 Time(s)
       /hudson/login: 1 Time(s)
       /hudson/script: 1 Time(s)
       /jenkins/login: 1 Time(s)
       /jenkins/script: 1 Time(s)
       /jmx-console: 1 Time(s)
       /login: 1 Time(s)
       /manager/html: 1 Time(s)
       /msd: 1 Time(s)
       /msd1.24.4: 1 Time(s)
       /msd1.24stable: 1 Time(s)
       /mySqlDumper: 1 Time(s)
       /myadmin: 1 Time(s)
       /mysqldumper: 1 Time(s)
       /phpMyAdmin: 1 Time(s)
       /phpMyAdmin-4.2.1-all-languages: 1 Time(s)
       /phpMyAdmin-4.2.1-english: 1 Time(s)
       /phpmyadmin: 1 Time(s)
       /script: 1 Time(s)
    404 Not Found
       /admin: 3 Time(s)
       /SQLite/SQLiteManager-1.2.4/main.php: 1 Time(s)
       /SQLiteManager-1.2.4/main.php: 1 Time(s)
       /SQLiteManager/main.php: 1 Time(s)
       /SQlite/main.php: 1 Time(s)
       /sqlite/main.php: 1 Time(s)
       /sqlitemanager/main.php: 1 Time(s)
 
 ---------------------- nginx End -------------------------

Je ne sais pas trop comment interpréter tout ça... J'ai viré les noms d'utilisateurs du log.

Pour la section 400, c'est lié aux favicons des trackers ?

Pour les 401/403/404, est-ce des soucis de droits ?

Wagner

Il s'agit d'un (ou plusieurs) bots à la recherche de vulnérabilité. Et non, aucun problème de droit. Ce sont les codes (d'erreurs) standard :

401 => Erreur de connection (identifiant ou mot de passe)

403 => Fichier index(.php ou .html) absent

404 => Tel fichier (ou dossier) n'existe

En fait, à mon avis, la présentation laisse un peu à désirer. Pour moi, ce sont des 404 (>70%) et ce notamment à partir de : /sql: 2 Time(s) .

Nginx ne répertorie l'absence des favicons. Néanmoins, au préalable il faut l'avoir configuré. Normalement, avec le tutoriel ou le script, (par défaut) c'est déjà le cas.

pierresnake

Parfait alors, me voilà rassuré (sauf pour la partie ou je suis traqué par une armée de terminator numérique mais je devrais m'en remettre 😀).

Je regarderais à l'occasion comment alléger ce rapport en filtrant peut-être les erreurs ou quelque chose comme ça. Merci pour les infos

Paul-Henri

Hello,

Tout simplement merci pour ce tuto

Paul-H

Gaume

Bonjour à tous,

Alors pour ma part, j'ai un soucis avec :

[nginx-badbots]
enabled  = true
port  = http,https
filter = nginx-badbots
logpath = /var/log/nginx/*access.log
bantime = 86400
maxretry = 5

Lorsque j'ajoute cette partie et que je relance Nginx j'ai :

[....] Restarting authentication failure monitor: fail2banTraceback (most recent call last):
  File "/usr/bin/fail2ban-client", line 404, in <module>
    if client.start(sys.argv):
  File "/usr/bin/fail2ban-client", line 373, in start
    return self.__processCommand(args)
  File "/usr/bin/fail2ban-client", line 183, in __processCommand
    ret = self.__readConfig()
  File "/usr/bin/fail2ban-client", line 378, in __readConfig
    ret = self.__configurator.getOptions()
  File "/usr/share/fail2ban/client/configurator.py", line 68, in getOptions
    return self.__jails.getOptions(jail)
  File "/usr/share/fail2ban/client/jailsreader.py", line 67, in getOptions
    ret = jail.getOptions()
  File "/usr/share/fail2ban/client/jailreader.py", line 78, in getOptions
    ret = self.__filter.read()
  File "/usr/share/fail2ban/client/filterreader.py", line 56, in read
    return ConfigReader.read(self, "filter.d/" + self.__file)
  File "/usr/share/fail2ban/client/configreader.py", line 62, in read
    SafeConfigParserWithIncludes.read(self, [bConf, bLocal])
  File "/usr/share/fail2ban/client/configparserinc.py", line 108, in read
    fileNamesFull += SafeConfigParserWithIncludes.getIncludes(filename)
  File "/usr/share/fail2ban/client/configparserinc.py", line 79, in getIncludes
    parser.read(resource)
  File "/usr/lib/python2.7/ConfigParser.py", line 305, in read
    self._read(fp, filename)
  File "/usr/lib/python2.7/ConfigParser.py", line 512, in _read
    raise MissingSectionHeaderError(fpname, lineno, line)
ConfigParser.MissingSectionHeaderError: File contains no section headers.
file: /etc/fail2ban/filter.d/nginx-badbots.conf, line: 5
'failregex = ^<HOST> .*?"GET.*?\\/setup\\.php.*?" .*?\n'
 failed!

Vous auriez pas une idée de ce qui cloche ??

dam

Salut Gaume sur quel type d’installation ? script auto ou installation compète?

Gaume

Hello,

Alors je suis sur debian 7.5 64bits et en installation manuel.

dam

A partir de quel moment sa bloque sur la première partie du tuto pour la config du jail.local ou quand tu créé les filtres ?

Gaume

~~Alors à la toute fin du tuto fail2ban.~~

~~J'ai mis en place les filtres etc et au moment de relancer fail2ban j'ai eu l'erreur. J'ai chercher d’où elle venait etc et elle apparait lorsque je modifie le fichier config et que j'ajoute :~~

[nginx-badbots]
enabled  = true
port  = http,https
filter = nginx-badbots
logpath = /var/log/nginx/*access.log
bantime = 86400
maxretry = 5

[/s]

Sa fonctionne, merci quand même.

eurynome

Bonjour à tous!

Ça coince pour moi dans la section logwatch, quand il faut le redémarrer, j'ai ça comme erreur:

Error: There is no logfile defined. Do you have a /etc/logwatch/conf/logfiles/lighttpd.conf file ?

Je précise que j'ai migré il y a peu de temps de lighttpd vers nginx, et j'imagine que c'est la cause de mon problème.
Comment remédier à ça?

ex_rat

Salut
Fais du menage, tu vires tout ce qui ressemble à du "lighttpd" dans les dossiers :

/usr/share/logwatch/default.conf/logfiles/
/usr/share/logwatch/default.conf/services/
/usr/share/logwatch/scripts/services/

Ça devrait être bon après.
Ex.

eurynome

Merci ex_rat! C'est bon!

shiraz91

Hello,

Super tuto, j'y suis arrivé sans encombre mais par contre, lors du scan, j'ai :

 /usr/bin/unhide.rb                                       [ Warning ]

Qui est sorti comme une source potentiellement dangereuse .

« Page précédente Page suivante »