Crowdsec Docker Beispiel - Versionsgeschichte

Thomas.will: /* Ergänzung: Weitere Dienste absichern */

2025-04-09T06:57:00Z

Ergänzung: Weitere Dienste absichern

Thomas.will am 9. April 2025 um 06:55 Uhr

2025-04-09T06:55:07Z

Thomas.will am 9. April 2025 um 06:52 Uhr

2025-04-09T06:52:54Z

Thomas.will: Die Seite wurde neu angelegt: „==== Docker-Absicherung mit CrowdSec ==== ;Ziel CrowdSec soll zusätzlich zu SSH auch containerisierte Dienste erkennen, die über Docker betrieben werden. Da…“

2025-04-09T06:50:46Z

Die Seite wurde neu angelegt: „==== Docker-Absicherung mit CrowdSec ==== ;Ziel CrowdSec soll zusätzlich zu SSH auch containerisierte Dienste erkennen, die über Docker betrieben werden. Da…“

Neue Seite

==== Docker-Absicherung mit CrowdSec ====

;Ziel
CrowdSec soll zusätzlich zu SSH auch containerisierte Dienste erkennen, die über Docker betrieben werden. Dazu werden Docker-Logs über journald ausgewertet.

==== Voraussetzungen ====

'''CrowdSec ist bereits installiert und läuft'''

'''Docker loggt ins Journal'''
'''journalctl -u docker.service | tail'''

==== Parser für Docker aktivieren ====

'''Hub aktualisieren'''
'''cscli hub update'''

'''Docker-Parser installieren'''
'''cscli parsers install crowdsecurity/docker-logs'''

==== Docker-Collection installieren ====

'''Collection installieren'''
'''cscli collections install crowdsecurity/docker'''

'''Die Collection enthält'''
* Parser für Docker-Log-Formate
* Szenarien zur Erkennung typischer Angriffe auf containerisierte Dienste

==== CrowdSec neu starten ====

'''Dienst neu starten'''
'''systemctl restart crowdsec'''

==== Prüfung der Konfiguration ====

'''Aktive Szenarien anzeigen'''
'''cscli scenarios list'''

'''Aktive Collections anzeigen'''
'''cscli collections list'''

==== Weitere Hinweise ====

'''Gezielte Absicherung einzelner Container'''
* Nur Logs einzelner Container auswerten (z. B. mit syslog-Forwarding oder Journal-Filter)

'''Erkennung prüfen'''
* Testangriff auf Webdienst im Container durchführen
* CrowdSec-Logs mitverfolgen:
'''journalctl -u crowdsec -f'''

==== Ergänzungen ====

'''Weitere Dienste absichern'''
'''cscli collections install crowdsecurity/nginx'''
'''cscli scenarios install crowdsecurity/http-bf'''

==== Fazit ====

Durch Installation des Parsers und der Docker-Collection lässt sich CrowdSec erweitern, um auch containerisierte Dienste zu überwachen. Voraussetzung ist, dass die Logs zentral im Journal zur Verfügung stehen.

@@ Zeile 50: / Zeile 50: @@
 ==== Ergänzung: Weitere Dienste absichern ====
-Falls nginx oder HTTP-APIs im Container laufen, empfiehlt es sich, folgende Collections zu installieren:
+Falls nginx im Container laufen, empfiehlt es sich, folgende Collections zu installieren:
 * '''cscli collections install crowdsecurity/nginx'''
 ==== Fazit ====
 Mit diesen Schritten lässt sich CrowdSec so erweitern, dass auch Angriffe auf Docker-Container erkannt und geblockt werden. Voraussetzung ist, dass die Logs der Container für CrowdSec zugänglich sind.

@@ Zeile 1: / Zeile 1: @@
-==== Docker-Absicherung mit CrowdSec ====
+==== Absicherung von Docker-Containern mit CrowdSec ====
 ;Ziel
-CrowdSec soll zusätzlich zu SSH auch containerisierte Dienste erkennen, die über Docker betrieben werden. Dazu werden Docker-Logs über journald ausgewertet.
+CrowdSec soll neben SSH auch Angriffe auf Dienste erkennen, die in Docker-Containern betrieben werden. Dazu werden die Logs der Container ausgewertet.
 ==== Voraussetzungen ====
@@ Zeile 8: / Zeile 8: @@
 CrowdSec ist installiert und läuft.
-Docker loggt ins Journal:
+Die Logs der Docker-Dienste sind für CrowdSec zugänglich, beispielsweise über das Journal:
 * '''journalctl -u docker.service | tail'''
-==== Parser für Docker aktivieren ====
+==== Schritt 1: Parser für Docker-Logs aktivieren ====
 Hub aktualisieren:
 * '''cscli hub update'''
-Docker-Parser installieren:
+Docker-Log-Parser installieren:
 * '''cscli parsers install crowdsecurity/docker-logs'''
-==== Docker-Collection installieren ====
+==== Schritt 2: Traefik-Collection installieren ====
-Collection installieren:
+Traefik-Collection installieren:
-* '''cscli collections install crowdsecurity/docker'''
+* '''cscli collections install crowdsecurity/traefik'''
 Diese Collection enthält:
-* Parser für Docker-Log-Formate
+* Parser für Traefik-Logs
-* Szenarien zur Erkennung typischer Angriffe auf containerisierte Dienste
+* Szenarien zur Erkennung typischer Angriffe auf HTTP-Dienste
-==== CrowdSec neu starten ====
+==== Schritt 3: CrowdSec-Dienst neu starten ====
 * '''systemctl restart crowdsec'''
-==== Prüfung der Konfiguration ====
+==== Überprüfung der Konfiguration ====
 Aktive Szenarien anzeigen:
@@ Zeile 41: / Zeile 40: @@
 * '''cscli collections list'''
-==== Weitere Hinweise ====
+==== Hinweise zur Feinabstimmung ====
 Nur bestimmte Container absichern:
-* z. B. gezielte Weiterleitung per journald-Filter oder syslog
+* Logs gezielt weiterleiten, z. B. mit spezifischen Journald-Filtern oder syslog.
 CrowdSec-Logs live verfolgen:
 * '''journalctl -u crowdsec -f'''
-==== Ergänzungen ====
+==== Ergänzung: Weitere Dienste absichern ====
-Weitere Dienste wie nginx absichern:
+Falls nginx oder HTTP-APIs im Container laufen, empfiehlt es sich, folgende Collections zu installieren:
 * '''cscli collections install crowdsecurity/nginx'''
 * '''cscli scenarios install crowdsecurity/http-bf'''
@@ Zeile 57: / Zeile 56: @@
 ==== Fazit ====
-Mit dem Parser und der Docker-Collection kann CrowdSec auch containerisierte Dienste schützen, sofern deren Logs zentral im Journal zur Verfügung stehen.
+Mit diesen Schritten lässt sich CrowdSec so erweitern, dass auch Angriffe auf Docker-Container erkannt und geblockt werden. Voraussetzung ist, dass die Logs der Container für CrowdSec zugänglich sind.