Et là vous allez me parler des fermes de bots et que ça sert à rien puisqu'ils changent d'IP...
Alors oui et non : certes on en là, mais pas toujours ! Je vois encore beaucoup d'attaques très bêtes et méchantes, qui ne s'embarrassent pas à être subtiles (pas de temporisation, pas d'IP multiples), donc on va au moins être efficace sur ces cas là.
Ensuite on peut être plus dur sur le délai du ban et la taille de la fenêtre de répétition. Je ne saurais pas dire si ces vains ou pas, je me dis naïvement que les IP ne sont pas non plus infinies... Alors même si elles changent on doit finir par les retrouver !
Sinon je ne vois qu'une solution face aux attaques subtiles qui ne font par exemple qu'une tentative par IP par heure voire jour : la mutualisation des bans. Donc devoir faire appel à un service qui recense toutes les IP bannies... j'avoue ne pas avoir cherché plus que ça ce que donne de telles RBL, j'ai encore du mal à confier aveuglément de telles décisions de blocage à des services tiers, qui pourraient être parfois trop sévères (encore mon soucis d'éviter les faux-positifs, avec une sensation de perte de contrôle).
Quand il ne s'agit pas d'un simple serveur, mais qu'on gère une infra exposant de multiples services, je trouve intéressant de pouvoir au moins mutualiser tous nos bans. Mais à ma connaissance fail2ban ne permet pas ce fonctionnement collaboratifs entre plusieurs serveurs... Par contre comme on peut faire ses propres filtres et actions, je suppose qu'on peut se bricoler un truc dans le genre...
Mais la bricole ça va 5mn, je n'ai plus 20 ans et je préfère du standard et du maintenable, surtout si ça concerne la sécurité de toute mon infra ! Et puis je me souviens avoir lu la news sur reaction qui m'avait intéressé, surtout la fin qui évoquait une version 2 avec fonctionnement en grappe !
Du coup j'en suis resté là, en me disant que le jour où je voudrais améliorer mes fail2ban il faudra surtout que j'aille voir si reaction existe toujours et a évolué en ce sens (encore un truc qui encombre ma TODO list ')
[^] # Re: Retour d'expérience
Posté par Tony Flow . En réponse au journal Fail2ban, ajustement des valeurs par defaut. Évalué à 3.
Et là vous allez me parler des fermes de bots et que ça sert à rien puisqu'ils changent d'IP...
Alors oui et non : certes on en là, mais pas toujours ! Je vois encore beaucoup d'attaques très bêtes et méchantes, qui ne s'embarrassent pas à être subtiles (pas de temporisation, pas d'IP multiples), donc on va au moins être efficace sur ces cas là.
Ensuite on peut être plus dur sur le délai du ban et la taille de la fenêtre de répétition. Je ne saurais pas dire si ces vains ou pas, je me dis naïvement que les IP ne sont pas non plus infinies... Alors même si elles changent on doit finir par les retrouver !
Sinon je ne vois qu'une solution face aux attaques subtiles qui ne font par exemple qu'une tentative par IP par heure voire jour : la mutualisation des bans. Donc devoir faire appel à un service qui recense toutes les IP bannies... j'avoue ne pas avoir cherché plus que ça ce que donne de telles RBL, j'ai encore du mal à confier aveuglément de telles décisions de blocage à des services tiers, qui pourraient être parfois trop sévères (encore mon soucis d'éviter les faux-positifs, avec une sensation de perte de contrôle).
Quand il ne s'agit pas d'un simple serveur, mais qu'on gère une infra exposant de multiples services, je trouve intéressant de pouvoir au moins mutualiser tous nos bans. Mais à ma connaissance fail2ban ne permet pas ce fonctionnement collaboratifs entre plusieurs serveurs... Par contre comme on peut faire ses propres filtres et actions, je suppose qu'on peut se bricoler un truc dans le genre...
Mais la bricole ça va 5mn, je n'ai plus 20 ans et je préfère du standard et du maintenable, surtout si ça concerne la sécurité de toute mon infra ! Et puis je me souviens avoir lu la news sur reaction qui m'avait intéressé, surtout la fin qui évoquait une version 2 avec fonctionnement en grappe !
Du coup j'en suis resté là, en me disant que le jour où je voudrais améliorer mes fail2ban il faudra surtout que j'aille voir si reaction existe toujours et a évolué en ce sens (encore un truc qui encombre ma TODO list ')