Chuyển tới nội dung chính

Bảo Vệ Máy Chủ Linux khỏi Tấn Công Brute Force với Fail2Ban

Giới Thiệu​

Trong thế giới số ngày nay, việc bảo vệ máy chủ khỏi các mối đe dọa an ninh là vô cùng quan trọng. Một trong những hình thức tấn công phổ biến và dai dẳng nhất là "brute force attack" (tấn công vét cạn). Kẻ tấn công sẽ liên tục thử các tổ hợp tên người dùng và mật khẩu cho đến khi tìm được thông tin ưăng nhập chính xác. Điều này không chỉ gây lãng phí tài nguyên máy chủ mà còn tiềm ẩn nguy cơ bị xâm nhập nghiêm trọng.

Fail2Ban là một công cụ mã nguồn mở mạnh mẽ, được thiết kế để tự động chống lại các cuộc tấn công brute force. Nó hoạt động bằng cách quét các tệp nhật ký (log files) của máy chủ (như nhật ký SSH, Apache, Nginx, FTP, email, v.v.) để tìm kiếm các dấu hiệu của các hành vi đáng ngờ, chẳng hạn như quá nhiều lần đăng nhập không thành công. Khi phát hiện một địa chỉ IP có hành vi vi phạm, Fail2Ban sẽ tự động cập nhật quy tắc tường lửa để cấm địa chỉ IP đó trong một khoảng thời gian nhất định, giúp bảo vệ máy chủ của bạn một cách hiệu quả.

📋 Thời gian: Khoảng 20-30 phút | Độ khó: Cơ bản

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần:

  • Một máy chủ Linux (Ubuntu/Debian hoặc CentOS/RHEL).
  • Quyền truy cập root hoặc sudo trên máy chủ của bạn.
  • Kết nối internet để tải xuống các gói cần thiết.
  • Hiểu biết cơ bản về dòng lệnh Linux.

Các Bước Thực Hiện​

Bước 1: Cài đặt Fail2Ban​

Đầu tiên, chúng ta cần cài đặt Fail2Ban trên máy chủ của bạn.

Trên Debian/Ubuntu:

# Cập nhật danh sách gói
sudo apt update

# Cài đặt Fail2Ban
sudo apt install fail2ban -y

# Khởi động và kích hoạt Fail2Ban để tự khởi động cùng hệ thống
sudo systemctl start fail2ban
sudo systemctl enable fail2ban

Trên CentOS/RHEL:

# Cập nhật danh sách gói (CentOS 7 trở xuống)
# sudo yum update -y
# Cập nhật danh sách gói (CentOS 8 / RHEL 8 trở lên)
sudo dnf update -y

# Cài đặt EPEL repository (nếu chưa có)
# CentOS 7
# sudo yum install epel-release -y
# CentOS 8 / RHEL 8
sudo dnf install epel-release -y

# Cài đặt Fail2Ban
sudo dnf install fail2ban fail2ban-systemd -y

# Khởi động và kích hoạt Fail2Ban để tự khởi động cùng hệ thống
sudo systemctl start fail2ban
sudo systemctl enable fail2ban

✅ Sau khi cài đặt và khởi động, Fail2Ban sẽ chạy ngầm và sẵn sàng bảo vệ máy chủ của bạn.

Bước 2: Cấu hình Fail2Ban cơ bản​

Fail2Ban sử dụng các tệp cấu hình để xác định cách thức hoạt động. Tệp cấu hình chính là /etc/fail2ban/jail.conf. Tuy nhiên, để tránh bị ghi đè khi cập nhật, chúng ta nên tạo một tệp cấu hình cục bộ là /etc/fail2ban/jail.local và chỉ chỉnh sửa tệp này.

💡 Mẹo: Sao chép nội dung của jail.conf sang jail.local hoặc chỉ thêm các tùy chỉnh cần thiết vào jail.local.

# Sao chép tệp cấu hình mặc định để tùy chỉnh
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# Mở tệp jail.local để chỉnh sửa
sudo nano /etc/fail2ban/jail.local

Trong tệp jail.local, bạn sẽ tìm thấy một số thiết lập quan trọng:

  • ignoreip: Danh sách các địa chỉ IP hoặc dải IP mà Fail2Ban sẽ bỏ qua (không bao giờ cấm). Bạn nên thêm địa chỉ IP tĩnh của mình vào đây.
  • bantime: Thời gian (tính bằng giây) mà một địa chỉ IP sẽ bị cấm. Mặc định là 10 phút (600 giây).
  • findtime: Thời gian (tính bằng giây) mà Fail2Ban sẽ đếm số lần thất bại. Nếu một IP thực hiện maxretry lần thất bại trong findtime, nó sẽ bị cấm. Mặc định là 10 phút (600 giây).
  • maxretry: Số lần thất bại tối đa trước khi một IP bị cấm. Mặc định là 5 lần.

Ví dụ cấu hình cơ bản:

[DEFAULT]
# IPs sẽ không bao giờ bị cấm. Đặt IP của bạn vào đây!
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 YOUR_STATIC_IP_ADDRESS

# Thời gian cấm mặc định (giây)
bantime = 3600 ; 1 giờ

# Thời gian để tìm kiếm các lỗi (giây)
findtime = 600 ; 10 phút

# Số lần thử lại tối đa trước khi cấm
maxretry = 5

# Hành động mặc định: dùng iptables để cấm
banaction = iptables-multiport

# Kích hoạt jail SSH (quan trọng)
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

⚠️ Lưu ý: Thay thế YOUR_STATIC_IP_ADDRESS bằng địa chỉ IP tĩnh của bạn để tránh bị Fail2Ban cấm chính mình.

Sau khi chỉnh sửa, lưu tệp và khởi động lại Fail2Ban để áp dụng các thay đổi:

sudo systemctl restart fail2ban

Bước 3: Cấu hình Jails nâng cao​

Fail2Ban có thể bảo vệ nhiều dịch vụ khác nhau bằng cách sử dụng các "jails" (nhà tù). Mỗi jail được cấu hình để giám sát một tệp nhật ký cụ thể và áp dụng các quy tắc cấm nếu phát hiện hành vi đáng ngờ.

Để xem danh sách các jail có sẵn, bạn có thể kiểm tra tệp jail.conf hoặc thư mục /etc/fail2ban/filter.d.

Kích hoạt các Jail phổ biến khác: Trong tệp jail.local, bạn có thể kích hoạt các jail khác bằng cách thêm hoặc chỉnh sửa phần cấu hình tương ứng.

Ví dụ kích hoạt jail cho Apache/Nginx (nếu bạn có web server):

# ... các cấu hình [DEFAULT] ...

# Jail cho SSH đã được bật ở trên

# Jail cho Apache (nếu bạn dùng Apache)
[apache-auth]
enabled = true
port    = http,https
logpath = %(apache_error_log)s

[apache-noscript]
enabled = true
port    = http,https
logpath = %(apache_access_log)s

[apache-botsearch]
enabled = true
port    = http,https
logpath = %(apache_access_log)s
bantime = 172800 ; Cấm lâu hơn cho các bot độc hại (2 ngày)

# Jail cho Nginx (nếu bạn dùng Nginx)
[nginx-http-auth]
enabled = true
port    = http,https
logpath = %(nginx_error_log)s

[nginx-proxy-dos]
enabled = true
port    = http,https
logpath = %(nginx_access_log)s
maxretry = 2
findtime = 60
bantime = 86400 ; Cấm 1 ngày

Sau khi thêm hoặc sửa đổi các jail, hãy lưu tệp và khởi động lại dịch vụ Fail2Ban:

sudo systemctl restart fail2ban

Bước 4: Quản lý và Giám sát Fail2Ban​

Bạn có thể sử dụng công cụ fail2ban-client để quản lý và kiểm tra trạng thái của Fail2Ban.

Kiểm tra trạng thái tổng thể của Fail2Ban:

sudo fail2ban-client status

Bạn sẽ thấy danh sách các jail đang hoạt động.

Kiểm tra trạng thái của một jail cụ thể (ví dụ: sshd):

sudo fail2ban-client status sshd

Lệnh này sẽ hiển thị thông tin chi tiết về jail sshd, bao gồm số lượng IP đang bị cấm và danh sách các IP đó.

Bỏ cấm một địa chỉ IP (nếu bạn vô tình bị cấm hoặc cần bỏ cấm thủ công):

sudo fail2ban-client set sshd unbanip YOUR_BANNED_IP_ADDRESS

Thay sshd bằng tên jail và YOUR_BANNED_IP_ADDRESS bằng địa chỉ IP cần bỏ cấm.

Xem nhật ký của Fail2Ban:

sudo tail -f /var/log/fail2ban.log

Lệnh này sẽ hiển thị các sự kiện mới nhất trong nhật ký của Fail2Ban, giúp bạn theo dõi hoạt động cấm/bỏ cấm.

Troubleshooting​

  • Fail2Ban không khởi động hoặc không hoạt động:
    • ⚠️ Kiểm tra cú pháp: Các lỗi cú pháp trong jail.local có thể khiến Fail2Ban không khởi động. Sử dụng sudo fail2ban-client -t để kiểm tra các tệp cấu hình hoặc kiểm tra nhật ký hệ thống: sudo systemctl status fail2ban hoặc sudo journalctl -u fail2ban.
    • 💡 Đường dẫn logfile sai: Đảm bảo logpath trong các jail cấu hình trỏ đến đúng tệp nhật ký của dịch vụ.
  • IP không bị ban dù đã thử nhiều lần:
    • Kiểm tra các thông số maxretry, findtime trong jail.local có phù hợp không.
    • Đảm bảo jail tương ứng đã được enabled = true.
    • Xác minh rằng địa chỉ IP của bạn không nằm trong danh sách ignoreip.
    • Kiểm tra nhật ký của Fail2Ban (/var/log/fail2ban.log) để xem có lỗi hoặc cảnh báo nào không.
  • Vô tình bị Fail2Ban cấm địa chỉ IP của chính mình:
    • Nếu bạn có địa chỉ IP tĩnh, hãy thêm nó vào ignoreip trong jail.local.
    • Nếu đã bị cấm, bạn có thể truy cập máy chủ qua console (nếu là máy ảo) hoặc một IP khác, sau đó dùng lệnh sudo fail2ban-client set <jailname> unbanip <IP_của_bạn> để bỏ cấm.

Kết Luận​

Fail2Ban là một công cụ thiết yếu để tăng cường bảo mật cho máy chủ Linux của bạn, đặc biệt là chống lại các cuộc tấn công brute force. Bằng cách tự động phát hiện và cấm các địa chỉ IP độc hại, Fail2Ban giúp giảm thiểu rủi ro bị xâm nhập và duy trì sự ổn định của hệ thống.

Best practices (Thực hành tốt nhất):

  • ✅ Luôn sử dụng jail.local: Tránh chỉnh sửa trực tiếp jail.conf để đảm bảo các thay đổi của bạn không bị mất khi cập nhật Fail2Ban.
  • ✅ Điều chỉnh thông số: Tùy chỉnh bantime, findtime, và maxretry cho phù hợp với môi trường và mức độ nhạy cảm của dịch vụ của bạn.
  • ✅ Kết hợp với tường lửa: Fail2Ban hoạt động hiệu quả nhất khi kết hợp với tường lửa như UFW (Ubuntu) hoặc firewalld (CentOS/RHEL) để quản lý các quy tắc mạng tổng thể.
  • ✅ Theo dõi nhật ký: Thường xuyên kiểm tra nhật ký của Fail2Ban để nắm bắt các hoạt động cấm và điều chỉnh cấu hình nếu cần.
  • ✅ Bảo mật SSH: Ngoài Fail2Ban, hãy cân nhắc sử dụng xác thực khóa SSH và thay đổi cổng SSH mặc định để tăng cường bảo mật hơn nữa.

Với Fail2Ban, bạn đã có thêm một lớp phòng thủ vững chắc, giúp máy chủ của bạn an toàn hơn trước các mối đe dọa trực tuyến.