🛡️ CrowdSec, открытая, модернизированная и совместная система предотвращения вторжений (fail2ban)

CrowdSec – это инструмент автоматизации безопасности, предназначенный для защиты серверов, служб, контейнеров или виртуальных машин, доступных в Интернете, с помощью серверного агента.

Проект был вдохновлен Fail2Ban и призван стать модернизированной совместной версией этого инструмента предотвращения вторжений.

CrowdSec использует систему анализа поведения, чтобы определить, пытается ли кто-то вас взломать, на основе ваших логов.

Если ваш агент обнаруживает такую агрессию, нарушающий IP адрес обрабатывается и отправляется на лечение.

Если этот сигнал проходит процесс курирования, IP затем перераспределяется среди всех пользователей, использующих аналогичный технологический профиль, чтобы «иммунизировать» их против этого IP.

Что касается IP-адреса, который атаковал вашу машину, вы можете устранить угрозу любым удобным для вас способом.

В конечном итоге CrowdSec использует мощь толпы для создания чрезвычайно точной системы репутации IP, которая приносит пользу всем ее пользователям.

CrowdSec является бесплатным и м открытым исходным кодом (под лицензией MIT), исходный код которого доступен на GitHub.

В настоящее время он доступен для Linux, с выпусками для macOS и Windows в планах развития.

Вот список основных функций  этого решения:

• Позволяет пользователям обнаруживать атаки и реагировать на них на любом уровне (блокировка в вашем брандмауэре, обратном прокси, CDN или непосредственно на прикладном уровне)
• Простота в установке и обслуживании, не требует технических требований. Установщик поставляется с мастером установки
• Разработан для интеграции с другими решениями и компонентами (например, используйте CrowdSec для чтения ваших журналов mod_security и автоматической блокировки злоумышленников на вашем прокси-сервере при информировании вашего SIEM)
• Речь идет о совместном использовании: метаданные об обнаруженной вами атаке/злоумышленнике отправляются в центральный API, а подтвержденные нежелательные IP-адреса затем передаются всем пользователям.
• Легковесный: он работает автономно, не требует много оперативной памяти или процессора, написан на Golang для обеспечения высокой производительности.
• Может работать с сырыми логами: вы можете запустить его на старых логах и посмотреть, что могло произойти, если вы использовали тот или иной сценарий, или просто посмотреть, кто атаковал вас в прошлом
• Поставляется со стандартными дашбордами, потому что визуализация является ключевым моментом
• Может использоваться со многими различными решениями для наиболее подходящего ответа на входящие угрозы (Drop, 2FA, Captcha, Script и т. д.)

Важно отметить, что за разработкой стоит французская команда, что является плюсом для конфиденциальности.

Даже если вы выберете «совместную работу» и поделитесь собранными данными, будут отправлены только 3 параметра: отметка времени, IP-адреса нарушителей и политика, которую они нарушили.

Как скачать и установить

Установка CrowdSec

Мастер в консоли поможет вам выбрать и предложить, каких демонов/логины отслеживать, хотя возможна и последующая настройка с помощью обычных конфигураций.

Скачать

$ git clone https://github.com/crowdsecurity/crowdsec.git

Установка

$ sudo ./wizard.sh -i

Архитектура

1. Служба CrowdSec, которая  представляет собой постоянную службу, которая отслеживает логи, отслеживает атаки и т. д.
2. Инструмент командной строки, который является интерфейсом cli для взаимодействия со службой.
3. Bouncers, которые представляют собой инструменты, позволяющие устранять угрозу там, где и как вы считаете нужным, или взаимодействовать с другим программным обеспечением.

$ cscli metrics

$ cscli ban list

$ vi /etc/crowdsec/config/profiles.yaml

Где найти CrowdSec

В настоящее время члены сообщества CrowsSec представляют более 60 стран на 6 континентах.

Они будут рады услышать ваши отзывы и участвовать в дальнейших обсуждениях. Их можно найти на GitHub, Discourse или Gitter.