Ubuntuサーバの不正アクセスが2週間で12000件を突破。再犯取り締まりのためにFail2Banの設定を見直す
Ubuntuサーバが快適に稼働しています。NextCloudを入れてプライベートクラウドを構築し、外出先から快適にデータをいじれるようになりました。セキュリティに関しては、先日インストールしたFail2Ban＋UFWでのIP BAN設定と、
UbuntuサーバにインストールしたFail2ban
Ubuntuサーバが快適に稼働しています。
NextCloudを入れてプライベートクラウドを構築し、外出先から快適にデータをいじれるようになりました。
セキュリティに関しては、先日インストールしたFail2Ban＋UFWでのIP BAN設定と、公開鍵認証のみのSSHで運用しています。
そのFail2Banのログを、設定から2週間経ってから見てみたところ、12000件以上のIPアドレスがBANされていました。画像のCurrently banned:12405がそれです。
サーバの用途はこちらに書いている通り、公開ページを作成しているわけではありません。
Ubuntuデスクトップ 20.04 LTSで構築したことまとめ2021年末から正月含めてUbuntuのサーバ環境構築を続けていました。 一度設定して稼働を始めれば、そこまで困ることはないのですが、不具合が生じて再設定をしはじめると何をしたのか分からなくなってきてしまうので、この記事を備忘録として...
NextCloudやNginxを入れていたとはいえ、BANされたIPが多すぎてびっくりしました。今のところ侵入された形跡はありませんが、こんなに不正アクセスをしようとする輩・BOTが多いことに驚きましたね。データ抜かれたら困るし…。
前回設定したFail2Banでは、24時間以内に3回アクセス→ログイン失敗したら3日BANするという設定を適用していました。
それでもアクセスを試みてくるため再犯BANを設定した結果、12000件以上のBAN IPが生まれたというわけです。
設定内容は「1度BANされているにも関わらず、2日以内にアクセスしてきて2回ログイン失敗したら、1年BANする」という内容を加えました。
sudo vi jail.local ``#再犯対策 ファイルの最後のほうに設定追加 [recidive] enabled = true filter = recidive logpath = /var/log/fail2ban.log action = iptables-allports maxretry = 2 findtime = 2d bantime = 1y一度目はUFWのログを見てBAN。二度目は自らのfail2banログを見てBANという中々面白い仕掛けになっています。GitHubに設定をアップしているので、不正アクセス・不正ログインや攻撃に悩まれている方はぜひ参考にしてみてください。[
GitHub - tomato-ga/fail2ban-ufwContribute to tomato-ga/fail2ban-ufw development by creating an account on GitHub.
向いていない人・買い替えなくてよい人
現在の機器や設定で同じ用途を満たせている人には、買い替えや構成変更は向いていません。製品仕様やOSの手順は公開当時から変わっているため、最新情報はメーカーや公式ドキュメントで確認してください。