CentOS下安装fail2ban防暴力破解工具

前言：首先说说为什么笔者会想到写这篇博客，源于昨天下午，突然收到Nagios的报警邮件，说邮件服务器的进程数超过阀值。于是赶紧登录上去查看。
 
这里说下分析的过程：
1.既然说进程数超过阀值，肯定先查看进程：ps -ef；
2.如果不能即时看到问题，那就动态显示：top，看看究竟是哪个程序占用这么多进程；
3.最后确定了应该是courier-imap，但还不知道是什么原因导致；
4.查看ip连接，确认是否是其存在问题：netstat -ant，发现有大量的110连接；

650) this.width=650;” border=0>

650) this.width=650;” border=0>

 
介于这种安全隐患的存在，我们以后可以利用fail2ban来实现防暴力破解，防止恶意攻击。
下面就来说说fail2ban具体是什么。

简介：
fail2ban可以监视你的系统日志，然后匹配日志的错误信息（正则式匹配）执行相应的屏蔽动作（一般情况下是调用防火墙屏蔽），如:当有人在试探你的SSH、SMTP、FTP密码，只要达到你预设的次数，fail2ban就会调用防火墙屏蔽这个IP，而且可以发送e-mail通知系统管理员，是一款很实用、很强大的软件！
 
功能和特性：
　　1、支持大量服务。如sshd,apache,qmail,proftpd,sasl等等
　　2、支持多种动作。如iptables,tcp-wrapper,shorewall(iptables第三方工具),mail notifications(邮件通知)等等。
　　3、在logpath选项中支持通配符
　　4、需要Gamin支持(注：Gamin是用于监视文件和目录是否更改的服务工具)
　　5、需要安装Python,iptables,tcp-wrapper,shorewall,Gamin。如果想要发邮件，那必需安装postfix或sendmail
核心原理：
其实fail2ban就是用来监控，具体是调用iptables来实现动作！

好了，那下面来说说具体怎么安装、部署吧。
一、首先是服务安装
首先配置yum源，这里采用的是yum直接装（也可源码安装）
 vim /etc/yum.repos.d/CentOS-Base.repo
在最后新增：

[atrpms] 
name=Red Hat Enterprise Linux $releasever – $basearch – ATrpms 
baseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable 
gpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms 
gpgcheck=1 
enabled=1 

[Definition] 
loglevel = 3 
logtarget = SYSLOG                  #我们需要做的就是把这行改成/var/log/fail2ban.log，方便用来记录日志信息 
socket = /var/run/fail2ban/fail2ban.sock 

[DEFAULT]                                 #全局设置 
ignoreip = 127.0.0.1                      #忽略的IP列表,不受设置限制（白名单） 
bantime  = 600                            #屏蔽时间，单位：秒 
findtime  = 600                           #这个时间段内超过规定次数会被ban掉 
maxretry = 3                              #最大尝试次数 
backend = auto                            #日志修改检测机制（gamin、polling和auto这三种） 
 
[ssh-iptables]                            #针对各服务的检查配置，如设置bantime、findtime、maxretry和全局冲突，服务优先级大于全局设置 
enabled  = true                           #是否激活此项（true/false） 
filter   = sshd                           #过滤规则filter的名字，对应filter.d目录下的sshd.conf 
action   = iptables[name=SSH, port=ssh, protocol=tcp]                                                                        #动作的相关参数 
           sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]   #触发报警的收件人 
logpath  = /var/log/secure                #检测的系统的登陆日志文件 
maxretry = 5                              #最大尝试次数 

650) this.width=650;” border=0>

650) this.width=650;” border=0>

[pop3] 
enabled = true 
filter   = courierlogin 
action   = iptables[name=pop3, port=110, protocol=tcp] 
logpath = /var/log/maillog 
bantime = 1800 
findtime = 300 
maxretry = 30 
 
[webmail] 
enabled = true 
filter   = webmail 
action   = iptables[name=httpd, port=http, protocol=tcp] 
logpath = /var/log/maillog 
bantime = 900 
findtime = 300 
maxretry = 5