Firewall/fail2ban/rkhunter

[pat]

Bonjour ihr lieben..

in diesem TUT gehts um die erstellung einer firewall der installation von fail2ban und rkhunter..

wie die firewall aufgebaut ist dürfte den meisten bekannt sein..

als erstes schecken wir mit :

iptables -L

die Einstellungen wen noch nichst in der Richtung gemacht wurde sollte es so aussehn.

*****@****:~# iptables -L
Chain INPUT (policy ACCEPT)  <-- hier stehen die eingänge  (policy ACCEPT)steht dafür das alles offen ist
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)  <-- hier steht der gesteuerte trafik
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)  <-- hier steht der ausgang 
target     prot opt source               destination

____________

so nun erstellen wir ne firewall mit :

nano  firewall

den aufbau erklär ich jetzt nicht weiter am besten kopiert ihr euch die testfirewall die im anhang ist .(hab euch da die wichtigsten sachen rein gepackt was nicht bebraucht wird einfach rauslöschen oder umbenennen für zb:teamspeak shoutcast usw....

wen ihr soweit seit speichert sie ab geb ihr die rechte die sie brauch mit :

chmod +x firewall

und kopiert sie mit dem befehl :

CP  firewall /etc/init.d/

damit ihr die firewall bei einem reboot oder so nicht neu starten müssen geb den befehl ein :

update-rc.d firewall defaults

jetzt starten wir die firewall mit :

 ./firewall

wen sie richtig laüft sollte es so aussehen

Mise à 0
Interdiction
Loopback
Ping ok
SSH ok
dns ok
radio ok
rtorrent ok
ntp  ok
http ok
mail ok
teamspeak ok

hier mal meine....

wen ihr jetzt iptables -L ausführt werden alle einstellungen auf gelistet

so dad wars mit der firewall .
-------------------
weiter gehts mit fail2ban

installieren mit :

apt-get install fail2ban

so jetzt gehn wir in verzeichniss mit :

CD  /etc/fail2ban

und kopieren uns zu erst die jail.conf mit :

CP  jail.conf jail.conf.local

jetzt bearbeiten wir :

nano  jail.conf.local

und stellen dort unseren ssh port ein und wir können unsere email hinterlegen damit wir benachritet werden wen jemand gebant wird

der wichtigste teil ist der hier im normal fal stehen alle sachen auf false um die dienste zu aktivieren stellen wir sie auf true...

[ssh]

enabled = true  
port    = ******  <--- da muss euer port rein
filter    = sshd
logpath  = /var/log/auth.log
maxretry = 3

# Generic filter for pam. Has to be used with action which bans all ports
# such as iptables-allports, shorewall
[pam-generic]

enabled = false
# pam-generic filter can be customized to monitor specific subset of 'tty's
filter    = pam-generic
# port actually must be irrelevant but lets leave it all for some possible uses
port = all
banaction = iptables-allports
port     = anyport
logpath  = /var/log/auth.log
maxretry = 6

[xinetd-fail]

enabled   = false
filter    = xinetd-fail
port      = all
banaction = iptables-multiport-log
logpath   = /var/log/daemon.log
maxretry  = 2


[ssh-ddos]

enabled = true
port    = ****** <--- da muss euer port rein
filter  = sshd-ddos
logpath  = /var/log/auth.log
maxretry = 6

#
# HTTP servers
#

[apache]

enabled = true
port    = http,https
filter    = apache-auth
logpath = /var/log/apache*/*error.log
maxretry = 6

# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]

enabled   = true
port      = http,https
filter      = apache-auth
logpath   = /var/log/apache*/*error.log
maxretry  = 6

[apache-noscript]

enabled = true
port    = http,https
filter  = apache-noscript
logpath = /var/log/apache*/*error.log
maxretry = 6

[apache-overflows]

enabled = true
port    = http,https
filter  = apache-overflows
logpath = /var/log/apache*/*error.log
maxretry = 2
-------------------------------
[apache-404]
enabled = true
port = https              <-- hier entweder http oder https rein !!
filter = apache-404
logpath = /var/log/apache*/error*.log
maxretry = 10
[apache-admin]                                                                diesen teil erstellen wir selber und fügen ihn hier ein(das sind die filter )
enabled = true 
port = https                <-- hier entweder http oder https rein !!
filter = apache-admin
logpath = /var/log/apache*/error*.log
maxretry = 6
[apache-w00tw00t]
enabled = true
filter = apache-w00tw00t
action = iptables[name=Apache-w00tw00t,port=80,protocol=tcp]
logpath = /var/log/apache2/access*.log
maxretry = 1
-----------------------------------------
#
# FTP servers

so abspeichern...
jetzt gehn wir in den filter ordner mit CD  filter.d/

und erstellen die drei filter mit

nano  apache-404.conf

nano  apache-admin.conf

apache-w00tw00t.conf

filter sind im anhang einfach den jeweiligen rein kopieren und speichern

jetzt fail2ban neustarten mit :

/etc/init.d/fail2ban restart

und fertig sind wir mit fail2ban

-----------------------

jetzt installieren wir rkhunter

mit

apt-get install rkhunter

jetzt gehn wir in die datei mit

nano  /etc/default/rkhunter

und schauen ob report_email auf root steht und cron_daily_run auf yes


das wars hoffe hab mich net blöd angestellt ..


mfg



aso als kleines extra könnt euch per email benachritigen lassen wen sich jemand auf ssh schaltet

in der .bashrc

ganz unten den schnipsel rein

echo ‘Acces Shell  Root’ `who` `date` | mail -s `hostname` Shell  Root *****@***.***