Menangkal Serangan Brute Force dengan Fail2ban

Diposting oleh Jack Wilder Minggu, Januari 15, 2017

Serangan bruteforce termasuk serangan yang cukup berbahaya apalagi jika attacker dibiarkan bebas melakukan percobaan login hingga ribuan kali. Nah kali ini saya akan menulis tutorial bagaimana menangkal bruteforce menggunakan Fail2ban. Cara kerjanya, fail2ban akan "mengatur" rules di iptables dimana jika sebuah serangan bruteforce terjadi, ip dari penyerang akan diblock permanen atau hingga waktu yang ditentukan. Untuk tutorial ini saya mencoba mengamankan service pada ssh login dan juga login wordpress.

Pada tutorial ini saya menggunakan webserver nginx dengan sistem operasi Ubuntu 16.10 . Untuk sistem operasi lain mirip mirip jadi silahkan mengikuti saja.

Oke pertama kita install fail2ban.

sudo apt update

sudo apt install fail2ban

Sekarang kita konfigurasi fail2ban nya terlebih dahulu.

sudo nano /etc/fail2ban/jail.local

Ini pengaturan default saya :

[DEFAULT]
ignoreip = 127.0.0.1/8
ignorecommand =
bantime = 23600
findtime = 100
maxretry = 2
enabled = false

bantime menunjukkan berapa lama attacker akan dibanned. Satuannya adalah detik. Jika ingin melakukan banned permanen, isi value nya menjadi "-1" .

maxretry menunjukkan berapa kali percobaan gagal yang diijinkan. disini saya membuat rule jika dua kali gagal login maka ip akan di block.

enabled = false . Yup, disini memang defaultnya service yang dimanage oleh fail2ban hanya ssh. Dan memang lebih baik jangan diganti. Jika ingin menghidupkan service, edit saja di service yang ingin dihidupkan dengan value true.

findtime disini menunjukkan batasan waktu percobaan gagal yang dibolehkan sebelum dibanned. Dari contoh saya diatas, maksudnya jika ada percobaan gagal dua kali dalam kurun 100 detik, maka ip akan dibanned selama 23600 detik.

Untuk setingan lain silahkan sesuaikan sendiri ya, panjang soalnya. Atau kalau ada yang bingung bisa langsung tanya tanya di facebook saya yuyudhn1337 .

Oke kita lanjut ke service yang ingin dipasang fail2ban.

Disini saya akan memasang proteksi fail2ban di service login ssh. Dimana memang saat ini banyak hacker yang melakukan bruteforce pada port ssh.

[sshd]
enabled = true
port = ssh
action = iptables-multiport[name="bannedssh", port="80,443,22,48"]
logpath = %(sshd_log)s
maxretry = 3

Disini saya menggunakan bantime, maxretry dan findtime dari default yang sudah diatur diatas. Kalau kalian ingin menggunakan value berbeda bisa ditambahkan sendiri dibawahnya. Untuk port, disini "ssh" maksudnya adalah port default yang berada di port 22. Jika kalian menggunakan port lain untuk service ssh, tinggal diganti saja. Misal kalian login ssh di port 1337, maka isikan port = 1337 .

Oke sudah paham? Disini selain melindungi login ssh saya juga ingin memproteksi login wordpress dengan fail2ban.

Pertama install fail2ban plugins di WordPress kalian.

WP Fail2ban Plugin

Oke jika sudah terinstall, copy rule yang dibuat plugin ini ke direktori filter fail2ban. Disini saya menggunakan hard filter.

sudo cp /path/to/wordpress/wp-content/plugins/wp-fail2ban/filters.d/wordpress-hard.conf /etc/fail2ban/filter.d/

Sekarang kita edit lagi jail.local nya.

sudo nano /etc/fail2ban/jail.local

Lalu tambahkan di paling bawah :

[wordpress-hard]
enabled = true
port = http, https
filter = wordpress-hard
action = iptables-multiport[name="fuck-lamers", port="http,https"]
logpath = /var/log/auth.log
maxretry = 3

Nama wordpress-hard disesuaikan dengan nama filter yang ada di folder filter.d . Jadi jangan ngasal. Untuk rule lain sudah saya jelaskan diatas jadi silahkan dipahami sendiri atau disesuaikan sendiri.

Oke, sekarang sedikit tweaking di iptables nya.

Matikan dulu fail2ban .

sudo service fail2ban stop

Lalu install iptables-persistent untuk menyimpan rule yang kita buat sehingga tersimpan meski server di reboot.

sudo apt install iptables-persistent

Berhubung tidak banyak service yang saya pakai di server, saya hanya mengijinkan port ssh, mail, http, dan https yang terbuka. Ini adalah rule iptables yang saya pakai.

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 25 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 465 -j ACCEPT
sudo iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
sudo iptables -A INPUT -j DROP

Lalu cek menggunakan perintah

sudo iptables -S

Contoh putput :

-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 465 -j ACCEPT
-A INPUT -j DROP

Kalo dirasa sudah oke kita save konfigurasi iptables nya.

sudo dpkg-reconfigure iptables-persistent

Sekarang hidupkan lagi fail2ban nya.

sudo service fail2ban start

Cek lagi iptables nya.

sudo iptables -S

Output :

-A INPUT -p tcp -m multiport --dports 80,443 -j f2b-fuck-lamers
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 465 -j ACCEPT
-A INPUT -j DROP
-A f2b-fuck-lamers -j RETURN
-A f2b-sshd -j RETURN

Untuk melihat service fail2ban yang berjalan bisa di cek menggunakan perintah