Brute-Force Angriffe mit Firewall Daemon blockieren aus Bash Script
Firewall Daemon bietet Schutz vor laufenden Brute-Force Attacken, bei der Erkennung versuchter Angriffe auf den Linux Host. Um den Host permanent zu schützen, können verdächte Anfragen von angreifenden Quellen schnell gesperrt werden. Das folgende bash Script sperrt die IP, diese als Argument übergeben wird und von firewall-cmd auf reject gesetzt wird.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
#!/bin/bash # use in a script to reject a source ip given as an argument if [[ $# -eq 0 ]] ; then echo "No argument supplied" echo "use: reject [source ip address]" exit 0 fi echo "$1 to reject" firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="'$1'" reject' firewall-cmd --reload sleep 1 systemctl restart fail2ban sleep 3 firewall-cmd --list-all iptables -vnL |
Das Script wurde auf Debian 10 (buster) geschrieben, bei Debian muss firewalld erst installiert werden, wie auch unter Ubuntu 20. Bei CentOS Linux 7/8 (Core) und Fedora 30 oder höher ist firewalld im Standard und das Script ist anwendbar.
Fail2ban (Fehlschlag führt zum Bann) ist ein in Python entwickeltes IPS und Framework zur Vorbeugung gegen Einbrüche, das auf allen Unixoiden OS läuft, die ein manipulierbares Paketfiltersystem oder eine Firewall besitzen wie iptables oder firewalld unter Linux.
Bei Zeile 13 wird falls vorhanden und ausgeführt, die von Fail2ban verbannten (banned) Adressen nach der manipulation von firewalld, der zuvor aktive Zustand wieder hergestellt. Wird Fail2ban nicht angewandt, können die Zeilen 12 – 14 gelöscht werden.
|
1 2 |
./reject.sh 12.34.56.78 |
Mit Übergabe der Source-IP wird das Script in der bash ausgeführt, um auffällige Anfragen durch die Firewall zu sperren.
Die gesperrte IP-Adresse kann mit folgender Kommandozeile in der bash shell wieder entfernt werden.
|
1 2 3 |
firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="12.34.56.78" reject' firewall-cmd --reload |
Die aktuellen Firewall Regeln ausgeben mit diesen Kommandos.
|
1 2 3 |
firewall-cmd --list-all iptables -vnL |
