CrowdSec - オンラインからブロックリストをフェッチできるFail2Banの代替OSS

LinuxでDDoSなんかをログからいい感じにブロックするソフトウェアといったらFail2Ban。

IPをアクセス回数と間隔で監視してアウトな子はiptablesでブロックというシンプルかつ強力なソフトです。

そんなF2Bを代替するOSS「CrowdSec」は、F2B的な機能に加えて、CrowdSecコミュニティが提供するブロックリストも利用できるみたいです。

インストール方法

・テスト環境：Ubuntu 20.04 LTS

下記のコマンド群を実行すればOK。

sudo apt install bash gettext whiptail curl wget
curl -s https://api.github.com/repos/crowdsecurity/crowdsec/releases/latest | grep browser_download_url| cut -d '"' -f 4  | wget -i -
tar xvzf crowdsec-release.tgz
cd crowdsec-v*
sudo ./wizard.sh -i

なにやらサービスを選択する画面が出てくる。デフォのLinuxログやらsshdやらnginxやら、インストールされているサービスを勝手に認識してここにリストアップしてくれるので、ログを監視したいサービスを選択する。

f:id:ibulog_iblog:20201129235717p:plain

apacheとかmysqlとかvsftpdとかも対応している。なかなか優秀。

f:id:ibulog_iblog:20201129235721p:plain

インストールを進めていると「CrowdSec単体ではIPをブロックできひんで、ブロッカーがいるで」という忠告が。

f:id:ibulog_iblog:20201129235726p:plain

ブロッカーは以下のページで公開。通常のNetfilterのほか、Cloudflareやnginx、WordPressと連携してブロックできるみたい。

hub.crowdsec.net

「cs-netfilter-blocker」でNetfilterを使ったブロックができる。インストールは以下コマンド。

wget https://github.com/crowdsecurity/cs-netfilter-blocker/releases/download/v0.1.0/cs-netfilter-blocker.tgz
tar xzvf cs-netfilter-blocker.tgz
cd cs-netfilter-blocker-v0.1.0
sudo ./install.sh
sudo systemctl status netfilter-blocker

これでCrowdSec経由でNetfilterを利用できるようになったみたい。