Schutz vor Brute-Force-Angriffen (Fail2Ban)

Das Sperren von IP-Adressen (mit Fail2Ban) ist eine automatisierte Methode, um Ihre Server vor Brute-Force-Angriffen zu schützen. Fail2Ban nutzt reguläre Ausdrücke, um Protokolldateien hinsichtlich Mustern zu überwachen, die mit Authentifizierungsfehlern und anderen Fehlern, die als verdächtig eingestuft werden, übereinstimmen.

Wenn eine IP-Adresse innerhalb eines vom Administrator definierten Zeitintervalls zu oft versucht, sich anzumelden, wird diese IP-Adresse für eine bestimmte Zeit gesperrt. Fail2Ban kann darüber hinaus Firewallregeln aktualisieren und E-Mail-Benachrichtigungen senden. Sobald der Sperrzeitraum vorüber ist, wird die Sperre der IP-Adresse automatisch wieder aufgehoben.

Hinweis: Administratoren, die von Plesk 11.5 upgraden wollen und Fail2Ban verwenden wollen, müssen einen neuen Lizenzschlüssel für Plesk 12 von Odin oder ihrem Anbieter erhalten.

Auf die folgende Weise richten Sie Plesk so ein, dass IP-Adressen und Netzwerke, die schadhaften Traffic generieren, automatisch gesperrt werden:

1. Gehen Sie zu Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban) (in der Gruppe Sicherheit ). Die Komponente Fail2Ban muss auf Ihrem Server installiert sein.
2. Aktivieren Sie das Kontrollkästchen bei Angriffserkennung aktivieren.
3. Geben Sie die folgenden Einstellungen an:
   • Zeitraum für IP-Adress-Sperre – das Zeitintervall (in Sekunden) das angibt, wie lang eine IP-Adresse gesperrt werden soll. Sobald der Zeitraum vorüber ist, wird die Sperre der IP-Adresse automatisch wieder aufgehoben.
   • Zeitraum für Erkennung nachfolgender Angriffe - das Zeitintervall (in Sekunden), das angibt, wie lang das System die Anzahl an fehlgeschlagenen Versuchen und anderen unerwünschten Aktionen ausgehend von einer IP-Adresse zählt.
   • Anzahl an fehlgeschlagenen Versuchen, bevor die IP-Adresse gesperrt wird – die Anzahl an fehlgeschlagenen Anmeldeversuchen, die von der IP-Adresse ausgehen.
4. Klicken Sie auf OK.

Nun werden alle aktiven Fail2Ban-Jails genutzt, um die Protokolldateien zu überwachen und verdächtige IP-Adressen zu sperren.

Für Fail2Ban in Plesk gelten folgende Einschränkungen und Besonderheiten:

• Fail2Ban darf nicht als ein Plesk Service neu gestartet werden, da sonst alle angesammelten Statistikdaten, einschließlich der aktuell gesperrten IP-Adressen, verloren gehen.
• Fail2Ban bietet keinen Schutz vor Angreifern mit einer IPv6-Adresse. In Plesk verlässt sich Fail2ban lediglich auf IPs (ohne Hostnamen-Lookups), es sei denn es wird anders konfiguriert.
• Fail2Ban kann nicht vor dezentralisierten Brute-Force-Angriffen schützen, da es Eindringlinge anhand ihrer IP-Adresse identifiziert.
• Wenn Ihr Plesk auf einem VPS installiert ist, kann die Grenze für die iptables-Einträge des VPS (numiptent) die Funktion von Fail2Ban beeinträchtigen. Denn sobald die Grenze überschritten ist, funktioniert Fail2Ban nicht mehr richtig und im Fail2Ban-Protokoll ist die folgende oder eine ähnliche Zeile zu finden:
  fail2ban.actions.action: ERROR iptables -I fail2ban-plesk-proftpd 1 -s 12.34.56.78 -j REJECT --reject-with icmp-port-unreachable returned 100
  Wenden Sie sich in diesem Fall an Ihren VPS-Hosting-Provider, um das Problem zu beheben.
• Sofern vor dem Upgrade auf Plesk 12 bereits Fail2Ban auf Ihrem Server installiert war, wird das Paket durch das eigene Fail2Ban-Paket von Plesk ersetzt. Falls Ihr bereits installiertes Paket neuer ist als das mit Plesk bereitgestellte Paket, kann das Upgrade unter Umständen fehlschlagen. Vorhandene Jails werden nicht überschrieben und Sie können sie zusammen mit Plesk 12 Jails in Plesk verwalten.

Wenn eine IP-Adresse nicht gesperrt werden soll:

1. Gehen Sie zu Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban) > Vertrauenswürdige IP-Adressen > Vertrauenswürdige IP hinzufügen.
2. Geben Sie im Feld IP-Adresse eine IP-Adresse, einen IP-Bereich oder einen DNS-Hostnamen an und klicken Sie auf OK.

Sie können Fail2Ban-Protokolldateien über Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban) > Registerkarte Protokolle aufrufen und herunterladen.

Sie können die Liste der gesperrten IP-Adressen einsehen, die Adressen entsperren oder in die Liste der vertrauenswürdigen Adressen verschieben. Rufen Sie dazu Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban) > Registerkarte Gesperrte IP-Adressen auf.

Sie können über Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban) > Registerkarte Vertrauenswürdige IP-Adressen die Liste der IP-Adressen einsehen, die niemals gesperrt werden, sowie IP-Adressen hinzufügen und von der Liste entfernen .