하루하루를 행복하게 만들어보기

[ssh-iptables]  // Section 이름
#enabled  = false
enabled  = true // Section Enable 여부
filter   = sshd // Filter로 Filter.d/sshd.conf 파일을  사용한다
action   = iptables[name=SSH, port=ssh, protocol=tcp] // filter가 true일 경우 action.d/iptables.conf 를 action으로 사용한다.
#          mail-whois[name=SSH, dest=yourmail@mail.com]
#logpath  = /var/log/sshd.log
logpath  = /var/log/auth.log  // Filter가 감시할 Log파일의 위치를 표시해 준다.
maxretry = 5 //Action을 하게 만드는 Match의 회수 ex)5번 filter에 걸리면 action 실행
findtime = 600 // (단위 sec) 해당 시간 동안 fail이 없으면 Counter(maxretry관련)를 초기화 한다. 
bantime = 600 // (단위 sec) 해당 시간 동안 IP를 BAN한다 값이 마이너스이면 영원히 BAN한다.


Section당 Filter는 한개만 가능하지만 Action는 여러개 등록이 가능하며 순차적으로 실행된다.

failregex = Authentication failure for .* from <HOST>
            Failed [-/\w]+ for .* from <HOST>
            ROOT LOGIN REFUSED .* FROM <HOST>
            [iI](?:llegal|nvalid) user .* from <HOST>
Multline으로 작성이 가능하며 한 라인 한 라인이 Regex이다.
매줄에는 IP에 해당하는 <HOST> 가 반드시 존재해야 하고 아니면 오류를 보여준다.
<HOST>는 IPv4에 해당하는 alias이다. = (?:::f{4,6}:)?(?P<host>\S+)

직접 작성한 conf를 테스트 하고 싶으면 아래와 같은 명령을 통해 테스트 할 수 있을 것이다.
fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/test.conf

[DEFAULT]
ignoreip = 127.0.0.1/8
findtime = 600
bantime  = -1
maxretry = 3
backend = auto
action = hostsdeny[]
protocol = tcp

[ssh]
enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/sshd.log

[ssh-ddos]
enabled  = true
port     = ssh
filter   = sshd-ddos
logpath  = /var/log/sshd.log

[apache]
enabled  = true
port     = http,https
filter   = apache-auth
logpath  = /var/log/apache*/*error.log

[vsftpd]
enabled  = true
port     = ftp,ftp-data,ftps,ftps-data
filter   = vsftpd
logpath  = /var/log/vsftpd.log