Crowdsec Grundsätzliches - Versionsgeschichte

Thomas.will: /* CrowdSec - Open-Source Schutzsystem */

2026-05-13T12:26:39Z

CrowdSec - Open-Source Schutzsystem

Thomas.will am 7. April 2025 um 09:05 Uhr

2025-04-07T09:05:05Z

Thomas.will am 7. April 2025 um 09:03 Uhr

2025-04-07T09:03:43Z

Thomas.will: /* Bouncer */

2025-03-08T08:59:21Z

Bouncer

Thomas.will: /* CrowdSec installieren */

2025-03-08T08:59:05Z

CrowdSec installieren

Thomas.will: /* Bestandteile eines Szenarios */

2025-03-08T08:43:19Z

Bestandteile eines Szenarios

Thomas.will: /* Grundlagen zu CrowdSec */

2025-03-08T08:41:57Z

Grundlagen zu CrowdSec

Thomas.will: /* Status der aktuellen Entscheidungen prüfen */

2025-03-08T08:37:55Z

Status der aktuellen Entscheidungen prüfen

Thomas.will: /* Funktionsweise */

2025-03-08T08:37:49Z

Funktionsweise

Thomas.will: /* Funktionsweise */

2025-03-08T08:37:24Z

Funktionsweise

@@ Zeile 1: / Zeile 1: @@
 = CrowdSec - Open-Source Schutzsystem =
-CrowdSec ist ein quelloffenes Intrusion Prevention System (IPS), das moderne Erkennungsmethoden mit einer gemeinschaftlichen Verteidigungsstrategie kombiniert. Es eignet sich für Server, Dienste und Anwendungen aller Art, die Angriffen ausgesetzt sein können.
+CrowdSec ist ein quelloffenes '''HOST''' Intrusion Prevention System ('''H'''IPS), das moderne Erkennungsmethoden mit einer gemeinschaftlichen Verteidigungsstrategie kombiniert. Es eignet sich für Server, Dienste und Anwendungen aller Art, die Angriffen ausgesetzt sein können.
 == Zielsetzung von CrowdSec ==

@@ Zeile 1: / Zeile 1: @@
-= CrowdSec - Open-Source Schutzsystem =
+*'''Schutz vor automatisierten Angriffen''' – CrowdSec erkennt typische Angriffsarten wie Brute-Force, Port-Scanning oder auffällige HTTP-Zugriffe.
-CrowdSec ist ein modernes, quelloffenes Intrusion Prevention System (IPS), das auf dem Prinzip der kollaborativen Verteidigung basiert. Ziel ist es, Systeme vor unerwünschtem Zugriff und automatisierten Angriffen zu schützen, indem verdächtige Muster im Verhalten von Clients frühzeitig erkannt und entsprechende Gegenmaßnahmen eingeleitet werden.
+== Architektur und Aufbau ==
-Im Zentrum von CrowdSec steht die Analyse von Logdateien verschiedenster Dienste. Hierbei kommen sogenannte Parser zum Einsatz, die strukturierte Informationen aus unstrukturierten Logzeilen extrahieren. Auf dieser Grundlage prüfen regelbasierte Szenarien, ob sicherheitsrelevante Ereignisse vorliegen. Ein Szenario ist dabei eine Beschreibung typischer Angriffsverläufe, wie z. B. Brute-Force-Versuche, verdächtige HTTP-Zugriffe oder Portscans. Werden solche Muster erkannt, kann CrowdSec automatisch eine Entscheidung treffen, beispielsweise eine IP-Adresse temporär oder dauerhaft blockieren.
+*'''CrowdSec-Agent''' – Dieser analysiert Logdateien mithilfe von Parsern und erkennt sicherheitsrelevante Muster.
-Diese Entscheidungen sind nicht nur lokal wirksam, sondern können anonymisiert an die CrowdSec-Community weitergegeben werden. So entsteht ein kollektiver Schutzschild, bei dem Angriffe, die an einem Ort erkannt werden, auch an anderen Standorten proaktiv abgewehrt werden können. Durch diese Community-getriebene Architektur profitieren auch kleinere Systeme von der Intelligenz der Gesamtheit.
+== Arbeitsweise ==
-CrowdSec ist modular aufgebaut. Es besteht aus dem Agenten, der die Logdateien analysiert und Entscheidungen trifft, sowie optionalen Bouncern, die für die Durchsetzung der Entscheidungen zuständig sind. Ein Bouncer ist ein eigenständiges Modul, das Entscheidungen des Agents in konkrete Blockierungen umsetzt – beispielsweise durch Firewallregeln, Reverse-Proxy-Blockaden oder andere Integrationen.
+*'''Beobachtung''' – Der Agent liest kontinuierlich Logs aus definierten Quellen ein.
-Die Architektur von CrowdSec ist so gestaltet, dass sie sich flexibel in unterschiedliche Umgebungen integrieren lässt. Ob Webserver, Mailserver, SSH-Zugang oder andere Dienste – überall dort, wo Logs entstehen, kann CrowdSec Angriffsversuche erkennen und entsprechende Maßnahmen ergreifen. Durch die Nutzung offener Standards und Schnittstellen lässt sich CrowdSec zudem gut mit bestehenden Monitoring- und Sicherheitssystemen verbinden.
+== Vorteile von CrowdSec ==
-CrowdSec verfolgt einen proaktiven Sicherheitsansatz: Anstatt nur auf erkannte Angriffe zu reagieren, geht es darum, Muster frühzeitig zu erkennen und durch koordinierte Verteidigung möglichst viele Systeme gleichzeitig zu schützen. Das macht CrowdSec besonders in Zeiten verteilter Angriffe und automatisierter Bedrohungen zu einem wichtigen Baustein für moderne IT-Sicherheitskonzepte.
+*'''Open-Source und transparent''' – Der Quellcode ist offen und nachvollziehbar.

@@ Zeile 1: / Zeile 1: @@
 = CrowdSec - Open-Source Schutzsystem =
-CrowdSec ist ein Open-Source Intrusion-Prevention-System (IPS), das auf Community-Intelligenz basiert. Es analysiert Logdateien, erkennt verdächtige Aktivitäten und kann automatisiert auf Angriffe reagieren. Dabei teilt es erkannte Bedrohungen mit der globalen CrowdSec-Community, um kollektiv Angreifer zu blockieren.
+CrowdSec ist ein modernes, quelloffenes Intrusion Prevention System (IPS), das auf dem Prinzip der kollaborativen Verteidigung basiert. Ziel ist es, Systeme vor unerwünschtem Zugriff und automatisierten Angriffen zu schützen, indem verdächtige Muster im Verhalten von Clients frühzeitig erkannt und entsprechende Gegenmaßnahmen eingeleitet werden.
-= Installation von CrowdSec aus den Originalquellen =
+Im Zentrum von CrowdSec steht die Analyse von Logdateien verschiedenster Dienste. Hierbei kommen sogenannte Parser zum Einsatz, die strukturierte Informationen aus unstrukturierten Logzeilen extrahieren. Auf dieser Grundlage prüfen regelbasierte Szenarien, ob sicherheitsrelevante Ereignisse vorliegen. Ein Szenario ist dabei eine Beschreibung typischer Angriffsverläufe, wie z. B. Brute-Force-Versuche, verdächtige HTTP-Zugriffe oder Portscans. Werden solche Muster erkannt, kann CrowdSec automatisch eine Entscheidung treffen, beispielsweise eine IP-Adresse temporär oder dauerhaft blockieren.
-== CrowdSec installieren ==
+Diese Entscheidungen sind nicht nur lokal wirksam, sondern können anonymisiert an die CrowdSec-Community weitergegeben werden. So entsteht ein kollektiver Schutzschild, bei dem Angriffe, die an einem Ort erkannt werden, auch an anderen Standorten proaktiv abgewehrt werden können. Durch diese Community-getriebene Architektur profitieren auch kleinere Systeme von der Intelligenz der Gesamtheit.
-== Status prüfen ==
+CrowdSec ist modular aufgebaut. Es besteht aus dem Agenten, der die Logdateien analysiert und Entscheidungen trifft, sowie optionalen Bouncern, die für die Durchsetzung der Entscheidungen zuständig sind. Ein Bouncer ist ein eigenständiges Modul, das Entscheidungen des Agents in konkrete Blockierungen umsetzt – beispielsweise durch Firewallregeln, Reverse-Proxy-Blockaden oder andere Integrationen.
-== Folgende Einträge auskommentieren oder entfernen ==
+Die Architektur von CrowdSec ist so gestaltet, dass sie sich flexibel in unterschiedliche Umgebungen integrieren lässt. Ob Webserver, Mailserver, SSH-Zugang oder andere Dienste – überall dort, wo Logs entstehen, kann CrowdSec Angriffsversuche erkennen und entsprechende Maßnahmen ergreifen. Durch die Nutzung offener Standards und Schnittstellen lässt sich CrowdSec zudem gut mit bestehenden Monitoring- und Sicherheitssystemen verbinden.
-== CrowdSec neu starten ==
+CrowdSec verfolgt einen proaktiven Sicherheitsansatz: Anstatt nur auf erkannte Angriffe zu reagieren, geht es darum, Muster frühzeitig zu erkennen und durch koordinierte Verteidigung möglichst viele Systeme gleichzeitig zu schützen. Das macht CrowdSec besonders in Zeiten verteilter Angriffe und automatisierter Bedrohungen zu einem wichtigen Baustein für moderne IT-Sicherheitskonzepte.

@@ Zeile 43: / Zeile 43: @@
 == Bouncer ==
-Ein **Bouncer** setzt die von CrowdSec getroffenen Entscheidungen in die Tat um. Er kann verschiedene Mechanismen wie `iptables`, `nftables`, `nginx` oder `cloudflare` nutzen, um Angreifer zu blockieren.
+Ein '''Bouncer''' setzt die von CrowdSec getroffenen Entscheidungen in die Tat um. Er kann verschiedene Mechanismen wie `iptables`, `nftables`, `nginx` oder `cloudflare` nutzen, um Angreifer zu blockieren.
 Verfügbare Bouncer anzeigen:

@@ Zeile 53: / Zeile 53: @@
 == CrowdSec installieren ==
-* sudo apt install crowdsec -y
+* sudo apt install crowdsec crowdsec-firewall-bouncer -y
 == Status prüfen ==

@@ Zeile 14: / Zeile 14: @@
 === Bestandteile eines Szenarios ===
-* **Ereignisquelle:** Welche Logs durchsucht werden (z. B. `/var/log/auth.log` für SSH).
+* '''Ereignisquelle''' – Welche Logs durchsucht werden (z. B. `/var/log/auth.log` für SSH)
-* **Muster:** Welche Art von Verhalten als Angriff gilt (z. B. wiederholte Login-Fehlversuche).
+* '''Muster''' – Welche Art von Verhalten als Angriff gilt (z. B. wiederholte Login-Fehlversuche)
-* **Schwellenwert:** Ab wie vielen Vorkommnissen innerhalb eines bestimmten Zeitraums eine Reaktion erfolgt.
+* '''Schwellenwert''' – Ab wie vielen Vorkommnissen innerhalb eines bestimmten Zeitraums eine Reaktion erfolgt
-* **Maßnahmen:** Was passiert, wenn das Szenario greift (z. B. eine IP-Adresse für 10 Minuten blockieren).
+* '''Maßnahmen''' – Was passiert, wenn das Szenario greift (z. B. eine IP-Adresse für 10 Minuten blockieren)
 === Beispiel für ein SSH-Brute-Force-Szenario ===

@@ Zeile 7: / Zeile 7: @@
 CrowdSec analysiert verschiedene Logdateien von Servern und Anwendungen mithilfe von sogenannten "Parsers". Angriffsversuche werden anhand von vordefinierten "Scenarios" erkannt, und basierend darauf kann CrowdSec eine Entscheidung treffen ("Decision"), um beispielsweise eine IP-Adresse temporär oder dauerhaft zu sperren.
-= Grundlagen zu CrowdSec =
+= Grundlagen von CrowdSec =
-CrowdSec besteht aus mehreren Komponenten, die zusammenarbeiten, um Angriffe zu erkennen und abzuwehren.
+CrowdSec ist ein Open-Source Intrusion Prevention System (IPS), das Log-Dateien analysiert, Angriffe erkennt und automatisch blockiert. Es basiert auf einer Kombination aus **Szenarien**, **Alerts**, **Decisions** und **Bouncern**, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren.
-== Was ist ein Bouncer? ==
+== Szenario ==
-Ein Bouncer ist eine Komponente, die erkannte bösartige IPs aktiv blockiert. Er setzt die Entscheidungen (Decisions) in der Firewall, im Reverse Proxy oder in anderen Systemen um. Bouncer gibt es für verschiedene Technologien, z. B.:
+Ein **Szenario** ist eine definierte Regel, die CrowdSec nutzt, um verdächtiges Verhalten zu erkennen. Jedes Szenario beschreibt eine spezifische Angriffsmethode oder ein auffälliges Muster in den Logs.
-== Was ist ein Alert? ==
+=== Bestandteile eines Szenarios ===
-Ein Alert wird erzeugt, wenn eine verdächtige Aktivität erkannt wird. Er enthält Informationen wie:
+* **Ereignisquelle:** Welche Logs durchsucht werden (z. B. `/var/log/auth.log` für SSH).
-* Die erkannte Bedrohung (z. B. Brute-Force-Angriff auf SSH)
+* **Muster:** Welche Art von Verhalten als Angriff gilt (z. B. wiederholte Login-Fehlversuche).
-* Die betroffene IP-Adresse
+* **Schwellenwert:** Ab wie vielen Vorkommnissen innerhalb eines bestimmten Zeitraums eine Reaktion erfolgt.
-* Den Zeitpunkt des Angriffs
+* **Maßnahmen:** Was passiert, wenn das Szenario greift (z. B. eine IP-Adresse für 10 Minuten blockieren).
-Alerts führen nicht automatisch zu einer Blockierung, sondern geben an, dass ein Angriff identifiziert wurde.
+=== Beispiel für ein SSH-Brute-Force-Szenario ===
-== Was ist eine Decision? ==
+Überprüfung der aktiven Szenarien:
-Eine Decision ist eine Entscheidung, die CrowdSec trifft, um eine erkannte Bedrohung zu blockieren. Sie kann beinhalten:
+*'''sudo cscli scenarios list'''
-* Eine IP-Adresse für eine bestimmte Zeit zu bannen
+Filtern nach SSH-Szenarien:
-* Eine IP global (z. B. über CAPI) zu blockieren
+*'''sudo cscli scenarios list | grep ssh'''
-Decisions werden von den Bouncern umgesetzt, z. B. durch das Hinzufügen der IP zu einer Firewall-Regel oder einer Sperrliste im Webserver.
+== Alert ==
-== Wie arbeiten diese Komponenten zusammen? ==
+Anzeigen der aktuellen Alerts:
-. Der CrowdSec Agent analysiert die Logs von verschiedenen Diensten.
+*'''sudo cscli alerts list'''
-== Status der aktuellen Entscheidungen prüfen ==
+== Decision ==
-* sudo cscli decisions list
+Eine **Decision** ist die Maßnahme, die CrowdSec basierend auf einem Alert trifft. Eine typische Decision ist das Sperren einer IP-Adresse.
 = Installation von CrowdSec aus den Originalquellen =

← Nächstältere Version		Version vom 8. März 2025, 08:37 Uhr
Zeile 43:		Zeile 43:


−
−	~~= Funktionsweise =~~
−
−	CrowdSec analysiert verschiedene Logdateien von Servern und Anwendungen mithilfe von sogenannten "Parsers". Angriffsversuche werden anhand von vordefinierten "Scenarios" erkannt, und basierend darauf kann CrowdSec eine Entscheidung treffen ("Decision"), um beispielsweise eine IP-Adresse temporär oder dauerhaft zu sperren.

	= Installation von CrowdSec aus den Originalquellen =		= Installation von CrowdSec aus den Originalquellen =