Fail2ban

Fail2Ban — программное средство, которое анализирует журналы событий сервисов по регулярным выражениям и выявляет серии событий, соответствующие настроенным фильтрам. При достижении порога оно выполняет действие, часто временно ограничивая IP-адрес через механизм межсетевого экрана. Эффективность зависит от корректности формата и доступности журналов, параметров findtime, maxretry и bantime, а также от того, какой адрес источника реально виден сервису. Если обратный прокси или балансировщик скрывает исходный адрес и сервис не получает корректный адрес клиента, возможны блокировки адреса посредника либо недостаточная точность реакции. Fail2Ban используют для защиты SSH, почтовых, веб- и других сервисов, записывающих неудачные попытки входа в журналы. Его обычно дополняют ключевой аутентификацией, MFA, ограничением доступа и мониторингом событий. Fail2Ban отличается от межсетевого экрана: он не формирует постоянную сетевую политику, а автоматизирует реакцию на записи в журналах. От IDS он отличается более узкой задачей: реагирует на совпадения настроенных фильтров в выбранных журналах и выполняет заданные действия, тогда как IDS предназначена для обнаружения и оповещения о более широком наборе признаков атак.