Firewall/fail2ban/rkhunter

[pat]

Bonjour ihr lieben..

in diesem TUT gehts um die erstellung einer firewall der installation von fail2ban und rkhunter..

wie die firewall aufgebaut ist dürfte den meisten bekannt sein..

als erstes schecken wir mit :

iptables -L

die Einstellungen wen noch nichst in der Richtung gemacht wurde sollte es so aussehn.

*****@****:~# iptables -L
Chain INPUT (policy ACCEPT)  <-- hier stehen die eingänge  (policy ACCEPT)steht dafür das alles offen ist
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)  <-- hier steht der gesteuerte trafik
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)  <-- hier steht der ausgang 
target     prot opt source               destination

____________

so nun erstellen wir ne firewall mit :

nano  firewall

den aufbau erklär ich jetzt nicht weiter am besten kopiert ihr euch die testfirewall die im anhang ist .(hab euch da die wichtigsten sachen rein gepackt was nicht bebraucht wird einfach rauslöschen oder umbenennen für zb:teamspeak shoutcast usw....

wen ihr soweit seit speichert sie ab geb ihr die rechte die sie brauch mit :

chmod +x firewall

und kopiert sie mit dem befehl :

CP  firewall /etc/init.d/

damit ihr die firewall bei einem reboot oder so nicht neu starten müssen geb den befehl ein :

update-rc.d firewall defaults

jetzt starten wir die firewall mit :

 ./firewall

wen sie richtig laüft sollte es so aussehen

Mise à 0
Interdiction
Loopback
Ping ok
SSH ok
dns ok
radio ok
rtorrent ok
ntp  ok
http ok
mail ok
teamspeak ok

hier mal meine....

wen ihr jetzt iptables -L ausführt werden alle einstellungen auf gelistet

so dad wars mit der firewall .
-------------------
weiter gehts mit fail2ban

installieren mit :

apt-get install fail2ban

so jetzt gehn wir in verzeichniss mit :

CD  /etc/fail2ban

und kopieren uns zu erst die jail.conf mit :

CP  jail.conf jail.conf.local

jetzt bearbeiten wir :

nano  jail.conf.local

und stellen dort unseren ssh port ein und wir können unsere email hinterlegen damit wir benachritet werden wen jemand gebant wird

der wichtigste teil ist der hier im normal fal stehen alle sachen auf false um die dienste zu aktivieren stellen wir sie auf true...

[ssh]

enabled = true  
port    = ******  <--- da muss euer port rein
filter    = sshd
logpath  = /var/log/auth.log
maxretry = 3

# Generic filter for pam. Has to be used with action which bans all ports
# such as iptables-allports, shorewall
[pam-generic]

enabled = false
# pam-generic filter can be customized to monitor specific subset of 'tty's
filter    = pam-generic
# port actually must be irrelevant but lets leave it all for some possible uses
port = all
banaction = iptables-allports
port     = anyport
logpath  = /var/log/auth.log
maxretry = 6

[xinetd-fail]

enabled   = false
filter    = xinetd-fail
port      = all
banaction = iptables-multiport-log
logpath   = /var/log/daemon.log
maxretry  = 2


[ssh-ddos]

enabled = true
port    = ****** <--- da muss euer port rein
filter  = sshd-ddos
logpath  = /var/log/auth.log
maxretry = 6

#
# HTTP servers
#

[apache]

enabled = true
port    = http,https
filter    = apache-auth
logpath = /var/log/apache*/*error.log
maxretry = 6

# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]

enabled   = true
port      = http,https
filter      = apache-auth
logpath   = /var/log/apache*/*error.log
maxretry  = 6

[apache-noscript]

enabled = true
port    = http,https
filter  = apache-noscript
logpath = /var/log/apache*/*error.log
maxretry = 6

[apache-overflows]

enabled = true
port    = http,https
filter  = apache-overflows
logpath = /var/log/apache*/*error.log
maxretry = 2
-------------------------------
[apache-404]
enabled = true
port = https              <-- hier entweder http oder https rein !!
filter = apache-404
logpath = /var/log/apache*/error*.log
maxretry = 10
[apache-admin]                                                                diesen teil erstellen wir selber und fügen ihn hier ein(das sind die filter )
enabled = true 
port = https                <-- hier entweder http oder https rein !!
filter = apache-admin
logpath = /var/log/apache*/error*.log
maxretry = 6
[apache-w00tw00t]
enabled = true
filter = apache-w00tw00t
action = iptables[name=Apache-w00tw00t,port=80,protocol=tcp]
logpath = /var/log/apache2/access*.log
maxretry = 1
-----------------------------------------
#
# FTP servers

so abspeichern...
jetzt gehn wir in den filter ordner mit CD  filter.d/

und erstellen die drei filter mit

nano  apache-404.conf

nano  apache-admin.conf

apache-w00tw00t.conf

filter sind im anhang einfach den jeweiligen rein kopieren und speichern

jetzt fail2ban neustarten mit :

/etc/init.d/fail2ban restart

und fertig sind wir mit fail2ban

-----------------------

jetzt installieren wir rkhunter

mit

apt-get install rkhunter

jetzt gehn wir in die datei mit

nano  /etc/default/rkhunter

und schauen ob report_email auf root steht und cron_daily_run auf yes


das wars hoffe hab mich net blöd angestellt ..


mfg



aso als kleines extra könnt euch per email benachritigen lassen wen sich jemand auf ssh schaltet

in der .bashrc

ganz unten den schnipsel rein

echo ‘Acces Shell  Root’ `who` `date` | mail -s `hostname` Shell  Root *****@***.***

[Cerberus]

Deine Bemühungen in allen Ehren ...
Aber schau dir mal die Formatierungsmöglichkeiten im Editor an ....
Zum Probieren gibt es das Test-Forum. Auch finde ich, das diese Art Tutorials ins Glossar gehören ...

[pat]

vielmals sry.....

merci für ändern (code blöcke einfügen)

blick da noch net so ganz durch

geb mir nachher beim nächsten mehr mühe

[SP4C3]

Und schau dir mal die Grundlagen an. Shebang ist keine Sprache, eine Shell  keine Datei....

[pat]

Zitat von SP4C3

Und schau dir mal die Grundlagen an. Shebang ist keine Sprache, eine Shell  keine Datei....

stimmt ist geändert

merci

[bl0bb]

Hi,

danke fürs Tut. Aber möchte dennoch meckern

Anmerkung rkhunter: Sollte nur installiert werden, wenn das System gerade frisch aufgesetzt ist, da es sonst nutzlos ist.

Virenproggi dient auch der Sicherheit, z.B. clamAV

Deine Testfirewall ist totaler Müll, und ich hoffe du hast die nicht im produktiven Einsatz. (diverse DoS Schwachstellen [PoD, Slowloris, ...], IP Spoofing, ...).

Die zusätzlichen fail2ban Filter ergeben irgendwie keinen Sinn. Die Funktion die diese "erfüllen", sollte besser in der Firewall integriert werden.


Was jetzt kommt ist nicht nett und klingt vielleicht hart. Aber mit ein bißchen Lesen und Lernen (~6h), hättest du sehr viel mehr aus dem Tut machen können. Und dann würde es den Usern vielleicht sogar was nutzen. Das was du hier geschrieben hast, schaut mir aus wie eine schnelle Googlesuche.

[pat]

Zitat von bl0bb

Hi,

danke fürs Tut. Aber möchte dennoch meckern

Anmerkung rkhunter: Sollte nur installiert werden, wenn das System gerade frisch aufgesetzt ist, da es sonst nutzlos ist.

Virenproggi dient auch der Sicherheit, z.B. clamAV

Deine Testfirewall ist totaler Müll, und ich hoffe du hast die nicht im produktiven Einsatz. (diverse DoS Schwachstellen [PoD, Slowloris, ...], IP Spoofing, ...).

Die zusätzlichen fail2ban Filter ergeben irgendwie keinen Sinn. Die Funktion die diese "erfüllen", sollte besser in der Firewall integriert werden.


Was jetzt kommt ist nicht nett und klingt vielleicht hart. Aber mit ein bißchen Lesen und Lernen (~6h), hättest du sehr viel mehr aus dem Tut machen können. Und dann würde es den Usern vielleicht sogar was nutzen. Das was du hier geschrieben hast, schaut mir aus wie eine schnelle Googlesuche.

moin blobb

thanks für die klare aussage nehm das nicht persönlich.....

wie oben schon gesagt muss man sich die firewall ja anpassen die test firewall dient nur als vorlage das man nicht alles selber schreiben muss......

wen sich jemand die mühe nicht machen will kann sie/er auch ne apf-firewall nehmen...

also fail2ban laüft eins A alle logs funktionieren klar kann das in die firewall packen....

das mit dem rkhunter stimmt zum teil,man kan den rkhunter schnell auf den neusten stand bringen mit : rkhunter --propupd

ne schnelle netvision suche war es keine

mfg

und thanks noch mal für die direkte antwort .

[bl0bb]

Da rkhunter über Hashwerte funktioniert, sollte das System schon frisch sein. Sonst werden Rootkits nicht erkannt..., denn du weißt doch nicht ob schon wer auf deinem System spazieren gegangen ist.

Und wie ich schon sagte, deine Testfirewall ist Müll, und sollte damit auch nicht als Vorlage dienen. Ein User der keine Ahnung von IPTables hat, dem nutzt dies eh nichts. Daher wäre APF sicherlich eine Alternative.

[pat]

Zitat von bl0bb

Ein User der keine Ahnung von IPTables hat, dem nutzt dies eh nichts. Daher wäre APF sicherlich eine Alternative.

Du hast den nagel auf den kopf getroffen ....

Schönen Sontag noch

[SP4C3]

Noch ein kuerzer Hinweis.
Das hier vorgestellte ist KEINE! Firewall.
Das ist eher ein reiner Paketfilter, der lokal läuft.
Der Sicherheitsgewinn dadurch ist minimal, bis nicht vorhanden.
Das gilt im übrigen für alle lokal laufenden Paketfilter. Der Sinn einer Firewalllösung unter Windows ist auch primär ein anderer, als der "Ports dicht zu machen"...