Discussion Pour le tuto Sécurisation & Logs V3 : https://mondedie.fr/d/5318-Tuto-Securisation-Logs-V-3-nginx

Un GRAND merci ex_rat Version 2.0 du tuto presque parfaite. J'aurai une question sur la sécurisation SSH, lorsque que on a bloqué le login root et autorise un user perso créé, Il y a un moyen de pouvoir avoir les droits root sur filezilla en sftp avec l'user perso ?

Non. Pour avoir les droits root c'est soit utiliser sudo (pas possible avec filezilla) soit changer l'uid = 0 ce qui revient à renommer le user root en autre chose.

Merci beaucoup pour ce tuto très clair ! Je débute avec mon dédié Kimsufi et j'ai pu tout paramétrer sans problème, beau boulot.

Merci Par contre y'a un os, pas trop embêtant parce que ça risque pas grand chose mais quand même... Je m'étais jamais trop penché sur fail2ban mais la config' pour lighttpd qu'on retrouve sur tout les tuto qui trainent marche pas vraiment. Les 3 fichiers de conf "apache-truc" qu'on utilise en /etc/fail2ban/filter.d/ ne voient rien passer. C'est pour ça qu'on ramasse des bots "myphpadmin" en rafale entre autre. Pareil pour les tentatives d'identification à la porte de rutorrent, ça ban quedale Je teste quelques trucs... Pour l'identification j'ai ça déjà qui marche pas mal même si ça ne ban que si le guignol utilise un pseudo existant sur la box (pas trouvé pour un "toto" mais c'est moins gênant) On édite : nano /etc/fail2ban/filter.d/apache-auth.conf On efface tout et on colle à la place : # Fail2Ban configuration file # for lighttpd htdigest [Definition] # Option: failregex # Notes.: regex to match the password failure messages in the logfile. # Values: TEXT failregex = .*http_auth.*wrong password.*IP: <HOST>\s*$ .*http_auth.*password doesn\'t match.*IP: <HOST>\s*$ # Option: ignoreregex # Notes.: regex to ignore. If this regex matches, the line is ignored. # Values: TEXT ignoreregex = Et on relance fail2ban : /etc/init.d/fail2ban restart J'ai testé c'est ok, je viens de bannir ma mère au bout de 3 tentatives. "Mais t'es sur que je vais pas avoir d'ennuis ?!?" 🙂) J'ai un truc aussi pour les bots phpmyadmin mais j'attends d'avoir plus de retour sur mon test, je manque de pénibles sur le serveur pour l'instant. Votre avis sur la question m’intéresse grandement et si vous pouvez confirmer... Et pas facile "regex" au passage. Ex.

Oui c'est ça, j'ai une regex en stock pour nginx pour ceux qui voudrons passer à nginx quand j'aurais fait le tuto.

Ok je ferais la mise à jour un peu plus tard avec des règles propres. On suit des trucs sans les comprendre et on fait pornawak, c'est malheureux Edit: J'ai corrigé la partie Fail2Ban / Lighttpd avec ajout d'un filtre anti-script, ça marche pas mal du tout Ajout dans la règle anti script de fail2ban d'une ligne anti wootwoot qui marche pas mal du tout.

Bonjour et merci a ex_rat pour ce tuto. Tous c'est parfaitement dérouler, par contre je n'ai pas encore osé toucher la partie sécurité ssh.Du coup j'ai aussi sauté l’étape portsentry. De toute façon je me suis aperçu que dans les mails reçus par fail2ban la plupart des tentatives ont été effectuées sur des ports autre que le 22. J'ai juste 2, 3 questions: - Sur la partie "postfix" pour rediriger les mails vers root a quoi sert pour appliquer les changements `newaliases` Moi j'ai fait `/etc/aliases` modifier en `/etc/newaliases`.Au début j'avais créé un newaliases dans aliases mais cela ne me retourner aucun mail. - Dans la partie "logwatch", on edit le fichier `/usr/share/logwatch/default.conf/logfiles/lighttpd.conf` et on modifie les valeurs. J'ai supprimé la totalité des lignes et j'ai copié les lignes du tuto `LogFile = lighttpd/*access_log......ect` - Et pour finir sur la partie fail2ban mais je crois que du coup c'est bon puisque je reçois les logs par mail sur la création des deux filtres pour Lighttpd.Dans les fichiers, on remplace *HOST* par rien ? Merci.

Salut - Pour ta question sur logwatch, il y a juste l'adresse mail à modifier, le reste des commandes se tape tel quel sans rien changer: nano /etc/aliases Et rajouter à la fin : root: ton_mail@mail.com Tu enregistres la modif' : (ctrl X... Y...) Et après seulement, quand t'es "revenu" sur ta console tu tapes pour valider les changements : newaliases - Pour ta question sur HOST, on laisse comme ça dans les règles sans rien modifier. Par contre, ne fait pas l'impasse sur la sécu SSH, c'est le plus important avec fail2ban, et penses après a modifier le port surveillé par fail2ban pour qu'il fasse son boulot Bon courage Ex.

Salut , je doit bien avoir tous fait car je reçois parfaitement tous les mails. C'est aussi ok pour la partie SSH. Par contre comment supprimer quelques lignes dans le logserver ? Tu compte faire une partie pour AWStats ? ça permet bien de vérifier toutes les adresses ip banni sur le serveur? sudo nano checklist_ban Merci.

Pour AWStats il y avait ça dans l'ancien post sécurité qui est un peu plus bas sur la première page. Mais d'après les commentaires il y avait des soucis donc j'ai pas remis au propre, si quelqu’un a un tuto 100% fonctionnel, qu'il hésite pas Logserver, y'a une rotation du log sur 7 jours, c'est vrai qu'en fin de semaine le fichier est un peu lourd mais c'est pas trop gênant, j'ai pas soluce pour faire plus light mais si quelqu’un a ça et veut faire évoluer le truc avec un script ou autre idée, il est le bienvenue.... Fail2ban utilise Iptables, d'après la faq pour voir les ban en cours: `iptables -L` Pour un log plus parlant voir ici en bas de page: FAQ Fail2ban , faut ajouter des trucs dans les actions de jail.local Après y'a toujours moyen de voir les dernières entrées et suivre ça en live dans fail2ban.log quand y'a rien à la tv : tail -f -n 50 /var/log/fail2ban.log | ccze (toujours avec des jolies couleurs, parce que j'aime bien ! ) Ex.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd} : Page 18

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd}

astiar

ex_rat wrote:
j'ai un petit problème avec l envoi de mail suite a une " Connexion serveur via root "

il m'écris ça:
https://images.mondedie.fr/images/maileqe.
Ouais j'ai déjà eu le même soucis.
Ça venait d'un problème d'extension sur le nom de mon image, peut-être pas supporté par l’hébergeur (ou un mauvais copié/collé je sais pas trop), du coup j'avais pas réussi à avoir de l'aide vu que personne ne voyait mon problème
Maintenant, je me relis quand je poste sur un forum et j'édite quand il y a une boulette ça arrive plus jamais !
Ex.

Je suis désolé

je l'ai re-upload sur un autre site

Edit: problème a priori régler c'est a cause de Fish.

cocolabombe0

Bonjour, j'étais sur mon wordpress et je me suis fait ban:

2015-08-03 11:11:25,300 fail2ban.server [635]: INFO    Stopping all jails
2015-08-03 11:11:26,257 fail2ban.jail   [635]: INFO    Jail 'nginx-auth' stopped
2015-08-03 11:11:27,145 fail2ban.jail   [635]: INFO    Jail 'vsftpd' stopped
2015-08-03 11:11:28,127 fail2ban.jail   [635]: INFO    Jail 'ssh' stopped
2015-08-03 11:11:29,124 fail2ban.jail   [635]: INFO    Jail 'nginx-badbots' stopped
2015-08-03 11:11:29,124 fail2ban.server [635]: INFO    Exiting Fail2ban
2015-08-03 11:13:50,814 fail2ban.server [600]: INFO    Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.13
2015-08-03 11:13:51,059 fail2ban.jail   [600]: INFO    Creating new jail 'ssh'
2015-08-03 11:13:51,582 fail2ban.jail   [600]: INFO    Jail 'ssh' uses pyinotify
2015-08-03 11:13:51,693 fail2ban.jail   [600]: INFO    Initiated 'pyinotify' backend
2015-08-03 11:13:51,703 fail2ban.filter [600]: INFO    Added logfile = /var/log/auth.log
2015-08-03 11:13:51,704 fail2ban.filter [600]: INFO    Set maxRetry = 5
2015-08-03 11:13:51,706 fail2ban.filter [600]: INFO    Set findtime = 600
2015-08-03 11:13:51,706 fail2ban.actions[600]: INFO    Set banTime = 600
2015-08-03 11:13:51,741 fail2ban.jail   [600]: INFO    Creating new jail 'vsftpd'
2015-08-03 11:13:51,741 fail2ban.jail   [600]: INFO    Jail 'vsftpd' uses pyinotify
2015-08-03 11:13:51,745 fail2ban.jail   [600]: INFO    Initiated 'pyinotify' backend
2015-08-03 11:13:51,750 fail2ban.filter [600]: INFO    Added logfile = /var/log/vsftpd.log
2015-08-03 11:13:51,751 fail2ban.filter [600]: INFO    Set maxRetry = 5
2015-08-03 11:13:51,752 fail2ban.filter [600]: INFO    Set findtime = 600
2015-08-03 11:13:51,752 fail2ban.actions[600]: INFO    Set banTime = 600
2015-08-03 11:13:51,758 fail2ban.jail   [600]: INFO    Creating new jail 'nginx-auth'
2015-08-03 11:13:51,758 fail2ban.jail   [600]: INFO    Jail 'nginx-auth' uses pyinotify
2015-08-03 11:13:51,761 fail2ban.jail   [600]: INFO    Initiated 'pyinotify' backend
2015-08-03 11:13:51,761 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/owncloud-error.log
2015-08-03 11:13:51,773 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/rutorrent.error.log
2015-08-03 11:13:51,795 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/rutorrent-error.log
2015-08-03 11:13:51,813 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/error.log
2015-08-03 11:13:51,814 fail2ban.filter [600]: INFO    Set maxRetry = 10
2015-08-03 11:13:51,817 fail2ban.filter [600]: INFO    Set findtime = 600
2015-08-03 11:13:51,817 fail2ban.actions[600]: INFO    Set banTime = 600
2015-08-03 11:13:51,824 fail2ban.jail   [600]: INFO    Creating new jail 'nginx-badbots'
2015-08-03 11:13:51,824 fail2ban.jail   [600]: INFO    Jail 'nginx-badbots' uses pyinotify
2015-08-03 11:13:51,828 fail2ban.jail   [600]: INFO    Initiated 'pyinotify' backend
2015-08-03 11:13:51,829 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/owncloud-access.log
2015-08-03 11:13:51,868 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/access.log
2015-08-03 11:13:51,885 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/rutorrent-access.log
2015-08-03 11:13:51,886 fail2ban.filter [600]: INFO    Added logfile = /var/log/nginx/rutorrent.access.log
2015-08-03 11:13:51,887 fail2ban.filter [600]: INFO    Set maxRetry = 5
2015-08-03 11:13:51,889 fail2ban.filter [600]: INFO    Set findtime = 600
2015-08-03 11:13:51,889 fail2ban.actions[600]: INFO    Set banTime = 600
2015-08-03 11:13:51,932 fail2ban.jail   [600]: INFO    Jail 'ssh' started
2015-08-03 11:13:51,933 fail2ban.jail   [600]: INFO    Jail 'vsftpd' started
2015-08-03 11:13:51,934 fail2ban.jail   [600]: INFO    Jail 'nginx-auth' started
2015-08-03 11:13:51,934 fail2ban.jail   [600]: INFO    Jail 'nginx-badbots' started
2015-08-05 12:04:46,598 fail2ban.actions[600]: WARNING [nginx-badbots] Ban IP maison

Qu'a t-il pu se passer? Je ne suis pas sur une ip fixe donc quand je suis ban, je me co sur un vpn.

ex_rat

Qu'a t-il pu se passer?

Si t'as activé les mails avec Fail2ban, la réponse est en bas, dans le cas contraire épluche ton log d'access nginx et tu verras si qui a fait tilter le truc.
Surement une des lignes ^<HOST> .*?"GET .*wp-content.* 404 ou ^<HOST> .*?"GET .*wp-login.* 404 du fichier nginx-badbots.
Ex.

buroclass

Hello super le tuto.

J'ai passé tous les posts en revue mais je n'ai pas trouvé ma réponse ou je l'ai loupé peut être :

J'ai installé la partie pour banir des IP ( ban)
questions :

1) j'ai un dig not found", je suppose qu'il faut l'installer et pour ce faire comment fait-on?
2) Comment voir après la liste des ip bannies?

Merci

ex_rat

Salut
Google t'aurais donné les réponses sans trop de dificultés à mon avis

Pour dig, ça devrait rentrer dans l'ordre en installant ça:

apt-get install dnsutils

Pour voir tes ip bannies

iptables -l

Ex.

buroclass

Merci Ex, c'est vrai j'aurai un peu du googleisé.

Donc je vois bien les IP bannies via iptables -L

Seulement quand on banni une ip

ex une que je viens de bannir

118.98.104.21

elle s'inscrit dans iptable sous sa forme reverse à savoir

21.subnet118-98-104.astinet.telkom.net.id

Or quand tu veux la retirer du bannissement, iptables te donne le reverse de ip bannie.

Comment en déduire l'IP?

Déso si je pose de bête question.

ex_rat

Regardes par là, toujours avec la commande dig:
http://linuxcommando.blogspot.fr/2008/07/how-to-do-reverse-dns-lookup.html
Sachant qu'il y a des fois ou il ne te donnera aucune réponse si il ne trouve pas...
y'a des exemples aussi ici pour dig avec explications:
http://www.thegeekstuff.com/2012/02/dig-command-examples/

Le mieux pour ban reste de la faire à la main je crois:

iptables -I INPUT -s X.X.X.X -j DROP

Ex.

jbnitro

salut,

je viens d'acheter un nouveau serveur avec le script auto donc j'ai la secu avec le tuto et je voulais savoir est-ce que y'a des choses avec le script auto pour rutorrent qui sont deja faite par rapport a ton tuto sécu ?

ex_rat

Salut
Il y a juste Fail2ban déjà installé avec le script, même conf que dans le tuto à part le petit bout "envoie de mail" qui reste à faire si on veut.
Bon courage pour le reste

Ex.

jbnitro

Oui j'ai fait tout le reste juste l'envoie de mail de fail2ban qui ne marche pas au restart je sais pas pourquoi sinon aucun soucis j'ai fait tellement de fois qu'il n'y a plus de problèmes

ex_rat

Y'a peut-être une couille avec debian 8 pour les mails, je sais pas trop. J'ai pas eu le temps encore de retester le tuto depuis, donc je ne peux pas trop dire. Il faudrait d'autres retours la dessus.

Faudra quand même que je le fasse, c'est pas sérieux.

Ex.

lokiii

Essayes de vérifier ta conf fail2ban à partir du tuto sécurisation v3 http://mondedie.fr/d/5318 pour la partie postfix

jbnitro

Oui enfin j'ai fait en mode vite fait mais sinon je reçois les mails de connection root donc y'a pas de probleme et je reçoit logwatch aussi juste fail2ban rien

lokiii

et ton /etc/aliases, il est comment ?

Kali1030

Bonjour all

ex_rat J'ai un petit souci avec le fail2ban qui ne ban pas les tentatives login sur rutorrent après ( X tentatives)
pourtant j'ai bien la config nginx-auth en true avec le filtre comme indiqué dans la procédure mais toujours rien.

aurais-tu un conseil à donner, voir ce que mon filtre doit contenir.

nginx-http-auth et nginx-auth sont deux choses identiques je suppose ? et est-il nécessaire de rajouter nginx-login avec son filtre dont je ne connais pas le contenu ?

bien à toi

lokiii

C'est cette partie là qui t'intéresse :

[nginx-auth]
enabled  = true
port  = http,https
filter   = nginx-auth
logpath  = /var/log/nginx/*error.log
bantime = 600
maxretry = 15

Tout est OK ?

Dans ton /etc/nginx/sites-enables/rutorrent.conf , tes chemins de logs sont bien /var/log/nginx/xxx.log ?

Kali1030

merci pour ta réponse.

Oui la partie nginx-auth est la et dans le fichier conf ruttorent tout est bien pointer vers /etc/nginx/sites-enabled/

Tu as quoi dans /filtre.d nginx-auth.conf ?

bien à toi

lokiii

Kali1030 wrote: tout est bien pointer vers /etc/nginx/sites-enabled/

Tu voulais dire /var/log/nginx/xxx.log ?

Dans le conf:

[Definition]

failregex = no user/password was provided for basic authentication.*client: <HOST>
            user .* was not found in.*client: <HOST> 
            user .* password mismatch.*client: <HOST>

ignoreregex =

PS: comment t'es tu rendu compte qu'il ne ban pas les clients ?

Kali1030

Je précise que pour le reste fail2ban fonctionne bien , SSH, FTP et même nginx-badbots

The IP 188.165.237.12 has just been banned by Fail2Ban after
5 attempts against nginx-badbots

The IP 91.183.62.244 has just been banned by Fail2Ban after
4 attempts against ssh.

etc etc....

Kali1030

J'ai juste utiliser une autre connexion et fait plusieurs tentatives USER et PASS bidon pour voir, dans les logs je vois toutes les tentatives mais normalement au bout de X tentatives j'aurais du être ban .

Sinon ton fichier conf pour le filtre est identique au miens, et lorsque que je relance fail2ban toute les options sont "Sarted" nginx-auth entre autre.

« Page précédente Page suivante »