Crowdsec Traefik Beispiel - Versionsgeschichte

Thomas.will am 9. April 2025 um 07:38 Uhr

2025-04-09T07:38:31Z

Thomas.will: /* Angriff simulieren */

2025-04-09T07:36:44Z

Angriff simulieren

Thomas.will: /* Logquelle einbinden */

2025-04-09T07:30:05Z

Logquelle einbinden

Thomas.will: /* Access-Log in Traefik aktivieren */

2025-04-09T07:27:14Z

Access-Log in Traefik aktivieren

Thomas.will am 9. April 2025 um 07:21 Uhr

2025-04-09T07:21:32Z

Thomas.will: Die Seite wurde neu angelegt: „==== Traefik mit CrowdSec absichern ==== ;Ziel CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert. ==== Vor…“

2025-04-09T07:15:21Z

Die Seite wurde neu angelegt: „==== Traefik mit CrowdSec absichern ==== ;Ziel CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert. ==== Vor…“

Neue Seite

==== Traefik mit CrowdSec absichern ====

;Ziel
CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert.

==== Voraussetzungen ====

Traefik läuft im Docker-Container.

Die Access-Logs sind im JSON-Format aktiviert und per Volume-Mount ins Host-Dateisystem verfügbar.

==== Schritt 1: Traefik Access-Log konfigurieren ====

Traefik muss in der Konfiguration folgendes enthalten:

accessLog:
filePath: "/logs/traefik-access.log"
format: json

* '''-v /var/log/traefik:/logs'''

==== Schritt 2: CrowdSec vorbereiten ====

* '''cscli hub update'''
* '''cscli parsers install crowdsecurity/traefik-logs'''
* '''cscli collections install crowdsecurity/traefik'''
* '''systemctl restart crowdsec'''

==== Schritt 3: acquis.yaml anpassen ====

Datei: /etc/crowdsec/acquis.yaml

Eintrag hinzufügen:
* '''filenames:'''
* ''' - /var/log/traefik/traefik-access.log'''
* '''labels:'''
* ''' type: traefik'''

Dann neu starten:
* '''systemctl restart crowdsec'''

==== Schritt 4: Testangriff ====

Crawler-Simulation:
* '''for i in $(seq 1 100); do curl -s "http://dein-host/scan$i" > /dev/null; done'''

Sensiblen Pfad abfragen:
* '''curl http://dein-host/.env'''
* '''curl http://dein-host/.git/config'''
* '''curl http://dein-host/.htpasswd'''

==== Schritt 5: Erkennung prüfen ====

* '''cscli alerts list'''
* '''cscli decisions list'''
* '''journalctl -u crowdsec -f'''

==== Hinweis ====

CrowdSec kann keine Container-Logs aus docker logs oder journald analysieren, wenn das Log JSON ist. Verwende ausschließlich Datei-Logging mit Volume-Mount.

==== Fazit ====

Nur wenn Traefik JSON-Access-Logs in eine Datei schreibt und CrowdSec direkten Zugriff darauf hat, funktionieren die HTTP-Szenarien zuverlässig.

@@ Zeile 18: / Zeile 18: @@
     format: json
 *vi /mnt/docker/traefik/docker-compose.yaml
-   ./logs:/logs
+   - ./logs:/logs
 ==CrowdSec vorbereiten==

@@ Zeile 39: / Zeile 39: @@
 ==Angriff simulieren==
+*nikto -ssl -h docker-host
 ==Erkennung prüfen==

@@ Zeile 31: / Zeile 31: @@
 *vi /etc/crowdsec/acquis.yaml
   filenames:
-    - /var/log/traefik/traefik-access.log
+    - /mnt/docker/traefik/logs/traefik-access.log
   labels:
     type: traefik
 *systemctl restart crowdsec

@@ Zeile 13: / Zeile 13: @@
 ==Access-Log in Traefik aktivieren==
-*vi /etc/traefik/traefik.yml
+*vi /mnt/docker/traefik/traefik.yaml
   accessLog:
     filePath: "/logs/traefik-access.log"
     format: json
+*vi /mnt/docker/traefik/docker-compose.yaml
-Container mit Volume-Mount starten:
+  ./logs:/logs
 ==CrowdSec vorbereiten==

@@ Zeile 1: / Zeile 1: @@
-==== Traefik mit CrowdSec absichern ====
+=Traefik mit CrowdSec absichern=
-;Ziel
+==Ziel==
-CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert.
+CrowdSec soll HTTP-Angriffe auf einen Traefik-Proxy erkennen. Dazu wird das JSON-Access-Log von Traefik per Volume-Mount an CrowdSec übergeben und ausgewertet.
 Traefik läuft im Docker-Container.
-Die Access-Logs sind im JSON-Format aktiviert und per Volume-Mount ins Host-Dateisystem verfügbar.
+Access-Logs im JSON-Format sind aktiviert.
-==== Schritt 1: Traefik Access-Log konfigurieren ====
+CrowdSec ist installiert und läuft.
-Traefik muss in der Konfiguration folgendes enthalten:
+==Access-Log in Traefik aktivieren==
   accessLog:
     filePath: "/logs/traefik-access.log"
     format: json
-* '''-v /var/log/traefik:/logs'''
+*-v /var/log/traefik:/logs
-Eintrag hinzufügen:
+==CrowdSec vorbereiten==
-Dann neu starten:
+*cscli hub update
-* '''systemctl restart crowdsec'''
+*cscli parsers install crowdsecurity/traefik-logs
-==== Schritt 4: Testangriff ====
+==Logquelle einbinden==
-Crawler-Simulation:
+*vi /etc/crowdsec/acquis.yaml
-* '''for i in $(seq 1 100); do curl -s "http://dein-host/scan$i" > /dev/null; done'''
+ filenames:
-Sensiblen Pfad abfragen:
+*systemctl restart crowdsec
-==== Schritt 5: Erkennung prüfen ====
+==Angriff simulieren==
-* '''cscli alerts list'''
+*for i in $(seq 1 100); do curl -s "http://traefik-host/scan$i" > /dev/null; done
-* '''cscli decisions list'''
+*curl http://traefik-host/.env
-* '''journalctl -u crowdsec -f'''
+*curl http://traefik-host/.git/config
-==== Hinweis ====
+==Erkennung prüfen==
-CrowdSec kann keine Container-Logs aus docker logs oder journald analysieren, wenn das Log JSON ist. Verwende ausschließlich Datei-Logging mit Volume-Mount.
+*cscli alerts list
-==== Fazit ====
+==Hinweis==
-Nur wenn Traefik JSON-Access-Logs in eine Datei schreibt und CrowdSec direkten Zugriff darauf hat, funktionieren die HTTP-Szenarien zuverlässig.
+==Fazit==