Author : UnknownTidak ada komentar
Serangan bruteforce termasuk serangan yang cukup berbahaya apalagi jika attacker dibiarkan bebas melakukan percobaan login hingga ribuan kali. Nah kali ini saya akan menulis tutorial bagaimana menangkal bruteforce menggunakan Fail2ban. Cara kerjanya, fail2ban akan "mengatur" rules di iptables dimana jika sebuah serangan bruteforce terjadi, ip dari penyerang akan diblock permanen atau hingga waktu yang ditentukan. Untuk tutorial ini saya mencoba mengamankan service pada ssh login dan juga login wordpress.
Pada tutorial ini saya menggunakan webserver nginx dengan sistem operasi Ubuntu 16.10 . Untuk sistem operasi lain mirip mirip jadi silahkan mengikuti saja.
Oke pertama kita install fail2ban.
sudo apt update
sudo apt install fail2ban
Sekarang kita konfigurasi fail2ban nya terlebih dahulu.
sudo nano /etc/fail2ban/jail.conf
Ini pengaturan default saya :
[DEFAULT]
ignoreip = 127.0.0.1/8
ignorecommand =
bantime = 23600
findtime = 100
maxretry = 2
enabled = false
destemail = yuyudhn@outlook.com
sender = root@localhost
mta = sendmail
protocol = tcp
bantime menunjukkan berapa lama attacker akan dibanned. Satuannya adalah detik. Jika ingin melakukan banned permanen, isi value nya menjadi "-1" .
maxretry menunjukkan berapa kali percobaan gagal yang diijinkan. disini saya membuat rule jika dua kali gagal login maka ip akan di block.
enabled = false . Yup, disini memang defaultnya service yang dimanage oleh fail2ban hanya ssh. Dan memang lebih baik jangan diganti. Jika ingin menghidupkan service, edit saja di service yang ingin dihidupkan dengan value true.
findtime disini menunjukkan batasan waktu percobaan gagal yang dibolehkan sebelum dibanned. Dari contoh saya diatas, maksudnya jika ada percobaan gagal dua kali dalam kurun 100 detik, maka ip akan dibanned selama 23600 detik.
Untuk setingan lain silahkan sesuaikan sendiri ya, panjang soalnya. Atau kalau ada yang bingung bisa langsung tanya tanya di facebook saya yuyudhn1337 .
Oke kita lanjut ke service yang ingin dipasang fail2ban.
Disini saya akan memasang proteksi fail2ban di service login ssh. Dimana memang saat ini banyak hacker yang melakukan bruteforce pada port ssh.
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
Disini saya menggunakan bantime, maxretry dan findtime dari default yang sudah diatur diatas. Kalau kalian ingin menggunakan value berbeda bisa ditambahkan sendiri dibawahnya. Untuk port, disini "ssh" maksudnya adalah port default yang berada di port 22. Jika kalian menggunakan port lain untuk service ssh, tinggal diganti saja. Misal kalian login ssh di port 1337, maka isikan port = 1337 .
Oke sudah paham? Disini selain melindungi login ssh saya juga ingin memproteksi login wordpress dengan fail2ban.
Pertama install fail2ban plugins di WordPress kalian.
Oke jika sudah terinstall, copy rule yang dibuat plugin ini ke direktori filter fail2ban. Disini saya menggunakan hard filter.
sudo cp /path/to/wordpress/wp-content/plugins/wp-fail2ban/filters.d/wordpress-hard.conf /etc/fail2ban/filter.d/
Sekarang kita edit lagi jail.conf nya.
sudo nano /etc/fail2ban/jail.conf
Lalu tambahkan di paling bawah :
[wordpress-hard]
enabled = true
port = http, https
filter = wordpress-hard
action = iptables-multiport[name="fuck-lamers", port="http,https"]
logpath = /var/log/auth.log
maxretry = 3
Nama wordpress-hard disesuaikan dengan nama filter yang ada di folder filter.d . Jadi jangan ngasal. Untuk rule lain sudah saya jelaskan diatas jadi silahkan dipahami sendiri atau disesuaikan sendiri.
Oke, sekarang sedikit tweaking di iptables nya.
Matikan dulu fail2ban .
sudo service fail2ban stop
Lalu install iptables-persistent untuk menyimpan rule yang kita buat sehingga tersimpan meski server di reboot.
sudo apt install iptables-persistent
Berhubung tidak banyak service yang saya pakai di server, saya hanya mengijinkan port ssh, mail, http, dan https yang terbuka. Ini adalah rule iptables yang saya pakai.
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 25 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 465 -j ACCEPT
sudo iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
sudo iptables -A INPUT -j DROP
Lalu cek menggunakan perintah
sudo iptables -S
Contoh putput :
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 465 -j ACCEPT
-A INPUT -j DROP
Kalo dirasa sudah oke kita save konfigurasi iptables nya.
sudo dpkg-reconfigure iptables-persistent
Sekarang hidupkan lagi fail2ban nya.
sudo service fail2ban start
Cek lagi iptables nya.
sudo iptables -S
Output :
-A INPUT -p tcp -m multiport --dports 80,443 -j f2b-fuck-lamers
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 465 -j ACCEPT
-A INPUT -j DROP
-A f2b-fuck-lamers -j RETURN
-A f2b-sshd -j RETURN
Untuk melihat service fail2ban yang berjalan bisa di cek menggunakan perintah
sudo fail2ban-client status
Disini saya akan mencoba melakukan bruteforce pada service login wordpress dan melihat apakan fain2ban bekerja.
hasil dari /var/log/auth.log
hasil dari /var/log/fail2ban.log
Sekarang kita cek kembali rule iptables nya.
Yup, fain2ban bekerja dengan baik untuk mengamankan server yang kita kelola.
Lalu bagaimana jika kita ingin meng-unbanned ip yang di block oleh fain2ban?
Masukkan perintah :
fail2ban-client set jailname unbanip ipaddress
Contoh :
fail2ban-client set wordpress-hard unbanip 5.254.65.119
Oke sekian tutorial sederhana dari saya, jika ada yang ingin ditanyakan silahkan komentar . :)
Artikel Terkait
Posted On : Minggu, 12 Februari 2017Time : Februari 12, 2017
