- Se incorporó
- 20 Enero 2006
- Mensajes
- 529
Estimados, en el servidor de correos zimbra estoy teniendo ataques de fuerza bruta por el puerto de imap y no logro hacer funcionar el fail2ban con ese filtro, lo tengo funcionando son postfix, sasl y webmail del zimbra, esto es lo que tengo en la configuración del fail2ban.
Código:
Algunos de los ataques en el archivo mailbox.log
2017-08-12 20:30:18,001 INFO [ImapSSLServer-4858] [ip=218.75.150.254;] imap - authentication failed for [juanito] (invalid password)
2017-08-12 20:27:23,633 INFO [ImapSSLServer-4858] [ip=218.94.106.115;] imap - authentication failed for [[email protected]] (invalid password)
Código:
Lo mismo pero en el archivo audit.log
2017-08-12 20:30:18,001 WARN [ImapSSLServer-4858] [ip=218.75.150.254;] security - cmd=Auth; [email protected]; protocol=imap; error=authentication failed for [juanito], invalid password;
2017-08-12 20:27:23,633 WARN [ImapSSLServer-4858] [ip=218.94.106.115;] security - cmd=Auth; [email protected]; protocol=imap; error=authentication failed for [[email protected]], invalid password;
Código:
Esto es lo que tengo en el archivo /filter.d/imap.conf
# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 510 $
#
[Definition]
failregex = \[ip=<HOST>;\] imap - authentication failed for .* \(invalid password\)$
ignoreregex =
Código:
Esto en el archivo jail.conf
[imap]
enabled = true
port = imap
filter = imap
action = iptables-multiport[name=Imap, port=imap, protocol=tcp]
logpath = /opt/zimbra/log/mailbox.log
bantime = 628800
maxretry = 0
Código:
Al reinicar el servicio de fail2ban no muestra ningun error, pero aun asi no funciona el filtro
root@mail:~# fail2ban-client status imap
Status for the jail: imap
|- filter
| |- File list: /opt/zimbra/log/mailbox.log
| |- Currently failed: 0
| `- Total failed: 0
`- action
|- Currently banned: 0
| `- IP list:
`- Total banned: 0
root@mail:~#
Código:
Descubrí como correr un test con el filtro configurado y acá me dice que encontró 75 coincidencias, eso quiere decir que el filtro funciona pero no se esta ejecutando la acción de baneo
root@mail:~# fail2ban-regex /opt/zimbra/log/mailbox.log /etc/fail2ban/filter.d/imap.conf
Running tests
=============
Use failregex file : /etc/fail2ban/filter.d/imap.conf
Use log file : /opt/zimbra/log/mailbox.log
Results
=======
Failregex: 75 total
|- #) [# of hits] regular expression
| 1) [75] \[ip=<HOST>;\] imap - authentication failed for .* \(invalid password\)$
`-
Ignoreregex: 0 total
Date template hits:
|- [# of hits] date format
| [44098] Year-Month-Day Hour:Minute:Second[,subsecond]
`-
Lines: 44969 lines, 0 ignored, 75 matched, 44894 missed
Missed line(s):: too many to print. Use --print-all-missed to print all 44894 lines
Última modificación:
