Crowdsec Traefik Beispiel: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Die Seite wurde neu angelegt: „==== Traefik mit CrowdSec absichern ==== ;Ziel CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert. ==== Vor…“
 
Keine Bearbeitungszusammenfassung
 
(4 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
==== Traefik mit CrowdSec absichern ====
=Traefik mit CrowdSec absichern=


;Ziel
==Ziel==
CrowdSec soll HTTP-Angriffe auf Traefik erkennen. Die Logdatei im JSON-Format wird direkt analysiert.
CrowdSec soll HTTP-Angriffe auf einen Traefik-Proxy erkennen. Dazu wird das JSON-Access-Log von Traefik per Volume-Mount an CrowdSec übergeben und ausgewertet.
 
==== Voraussetzungen ====


==Voraussetzungen==
Traefik läuft im Docker-Container.
Traefik läuft im Docker-Container.


Die Access-Logs sind im JSON-Format aktiviert und per Volume-Mount ins Host-Dateisystem verfügbar.
Access-Logs im JSON-Format sind aktiviert.


==== Schritt 1: Traefik Access-Log konfigurieren ====
CrowdSec ist installiert und läuft.


Traefik muss in der Konfiguration folgendes enthalten:
==Access-Log in Traefik aktivieren==


*vi /mnt/docker/traefik/traefik.yaml
  accessLog:
  accessLog:
   filePath: "/logs/traefik-access.log"
   filePath: "/logs/traefik-access.log"
   format: json
   format: json
*vi /mnt/docker/traefik/docker-compose.yaml
  - ./logs:/logs


==CrowdSec vorbereiten==


* '''-v /var/log/traefik:/logs'''
*cscli hub update
 
*cscli parsers install crowdsecurity/traefik-logs
==== Schritt 2: CrowdSec vorbereiten ====
*cscli collections install crowdsecurity/traefik
 
*systemctl restart crowdsec
* '''cscli hub update'''
* '''cscli parsers install crowdsecurity/traefik-logs'''
* '''cscli collections install crowdsecurity/traefik'''
* '''systemctl restart crowdsec'''
 
==== Schritt 3: acquis.yaml anpassen ====
 
Datei: /etc/crowdsec/acquis.yaml
 
Eintrag hinzufügen:
* '''filenames:'''
* '''  - /var/log/traefik/traefik-access.log'''
* '''labels:'''
* '''  type: traefik'''
 
Dann neu starten:
* '''systemctl restart crowdsec'''
 
==== Schritt 4: Testangriff ====


Crawler-Simulation:
==Logquelle einbinden==
* '''for i in $(seq 1 100); do curl -s "http://dein-host/scan$i" > /dev/null; done'''


Sensiblen Pfad abfragen:
*vi /etc/crowdsec/acquis.yaml
* '''curl http://dein-host/.env'''
filenames:
* '''curl http://dein-host/.git/config'''
  - /mnt/docker/traefik/logs/traefik-access.log
* '''curl http://dein-host/.htpasswd'''
labels:
  type: traefik
---


==== Schritt 5: Erkennung prüfen ====
*systemctl restart crowdsec


* '''cscli alerts list'''
==Angriff simulieren==
* '''cscli decisions list'''
*nikto -ssl -h docker-host
* '''journalctl -u crowdsec -f'''


==== Hinweis ====
==Erkennung prüfen==


CrowdSec kann keine Container-Logs aus docker logs oder journald analysieren, wenn das Log JSON ist. Verwende ausschließlich Datei-Logging mit Volume-Mount.
*cscli alerts list
*cscli decisions list
*journalctl -u crowdsec -f


==== Fazit ====
==Hinweis==
CrowdSec kann keine Logs aus docker logs oder journald lesen, wenn das Log im JSON-Format ist. Nur eine explizite Logdatei mit Volume-Mount funktioniert zuverlässig.


Nur wenn Traefik JSON-Access-Logs in eine Datei schreibt und CrowdSec direkten Zugriff darauf hat, funktionieren die HTTP-Szenarien zuverlässig.
==Fazit==
Traefik lässt sich mit CrowdSec absichern, wenn das JSON-Access-Log korrekt in eine Datei geschrieben und über acquis.yaml eingebunden wird. Die Kombination aus Parser, Szenarien und Volume

Aktuelle Version vom 9. April 2025, 07:38 Uhr

Traefik mit CrowdSec absichern

Ziel

CrowdSec soll HTTP-Angriffe auf einen Traefik-Proxy erkennen. Dazu wird das JSON-Access-Log von Traefik per Volume-Mount an CrowdSec übergeben und ausgewertet.

Voraussetzungen

Traefik läuft im Docker-Container.

Access-Logs im JSON-Format sind aktiviert.

CrowdSec ist installiert und läuft.

Access-Log in Traefik aktivieren

  • vi /mnt/docker/traefik/traefik.yaml
accessLog:
  filePath: "/logs/traefik-access.log"
  format: json
  • vi /mnt/docker/traefik/docker-compose.yaml
 - ./logs:/logs

CrowdSec vorbereiten

  • cscli hub update
  • cscli parsers install crowdsecurity/traefik-logs
  • cscli collections install crowdsecurity/traefik
  • systemctl restart crowdsec

Logquelle einbinden

  • vi /etc/crowdsec/acquis.yaml
filenames:
  - /mnt/docker/traefik/logs/traefik-access.log
labels:
  type: traefik
---
  • systemctl restart crowdsec

Angriff simulieren

  • nikto -ssl -h docker-host

Erkennung prüfen

  • cscli alerts list
  • cscli decisions list
  • journalctl -u crowdsec -f

Hinweis

CrowdSec kann keine Logs aus docker logs oder journald lesen, wenn das Log im JSON-Format ist. Nur eine explizite Logdatei mit Volume-Mount funktioniert zuverlässig.

Fazit

Traefik lässt sich mit CrowdSec absichern, wenn das JSON-Access-Log korrekt in eine Datei geschrieben und über acquis.yaml eingebunden wird. Die Kombination aus Parser, Szenarien und Volume

Abgerufen von „https://wiki.ixheim.de/index.php?title=Crowdsec_Traefik_Beispiel&oldid=61286“