Crowdsec SSH Bruteforce Beispiel: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(38 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
−
= CrowdSec SSH-Brute-Force-Erkennung und Schutz =
+
= CrowdSec – SSH Brute-Force Erkennung =
  
−
== Installation der SSH-Collection ==
+
== Voraussetzung ==
−
* sudo cscli collections install crowdsecurity/sshd 
+
; CrowdSec ist installiert und die Whitelist ist angepasst.
−
* sudo systemctl reload crowdsec 
 
  
−
== Überprüfung, ob das SSH-Brute-Force-Szenario aktiv ist == 
+
== Installation der SSH-Collection ==
−
* sudo cscli scenarios list | grep ssh 
+
Installiert alle Parser und Szenarien für SSH-Brute-Force-Erkennung.
 +
* cscli collections install crowdsecurity/sshd
 +
* systemctl reload crowdsec
  
−
== Installation und Aktivierung des nftables-Bouncers ==
+
== Installation des nftables Bouncers ==
−
* sudo cscli bouncers add crowdsec-firewall-bouncer-nftables
+
Der Bouncer setzt erkannte Angriffe in nftables-Regeln um und blockt die Angreifer-IP.
−
* sudo systemctl reload crowdsec 
+
* apt install crowdsec-firewall-bouncer-nftables
  
−
== Überprüfung der erkannten SSH-Angriffe == 
+
== Bouncer neu starten und prüfen ==
−
* sudo cscli alerts list 
+
Nach der Installation wird der Bouncer gestartet und der Status geprüft.
 +
* systemctl restart crowdsec-firewall-bouncer
 +
* systemctl status crowdsec-firewall-bouncer
  
−
== Anzeige der gebannten IP-Adressen ==
+
== Bouncer-Verbindung zu CrowdSec prüfen ==
−
* sudo cscli decisions list
+
Zeigt ob der Bouncer korrekt bei der Engine registriert ist.
 +
* cscli bouncers list
  
−
== Detailansicht einer spezifischen IP-Adresse ==
+
== Installierte SSH-Szenarien prüfen ==
−
* sudo cscli decisions inspect <IP-Adresse> 
+
Filtert die Szenarienliste auf SSH-relevante Einträge.
 +
* cscli scenarios list | grep ssh
  
−
== Live-Log der CrowdSec-Analyse anzeigen ==
+
== Angriff vom Attacker durchführen ==
−
* sudo journalctl -u crowdsec -f 
 
  
−
== Überprüfung der installierten Parser, Szenarien und Bouncer ==
+
=== Passwortliste herunterladen ===
−
* sudo cscli parsers list 
+
* wget https://xinux.de/downloads/bad-passwords
−
* sudo cscli scenarios list 
 
−
* sudo cscli bouncers list 
 
  
−
== Überprüfung der letzten SSH-Fehlversuche ==
+
=== Hydra installieren ===
−
* sudo journalctl -u ssh -g "Failed password" --no-pager | tail -n 20 
+
* apt update
 +
* apt install hydra -y
  
−
== Test eines Brute-Force-Angriffs mit Hydra == 
+
=== Angriff starten ===
 +
Hydra führt einen SSH-Brute-Force-Angriff gegen das Ziel durch.
 +
* hydra -l christine -P bad-passwords ssh://10.88.2XX.11 -V
  
−
=== Installation von Hydra (falls nicht installiert) === 
+
== Erkannte Angriffe anzeigen ==
−
* sudo apt install hydra -y 
+
Listet alle von CrowdSec erkannten und protokollierten Alerts auf.
 +
* cscli alerts list
  
−
=== Simulieren eines SSH-Brute-Force-Angriffs === 
+
<pre>
−
* hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://127.0.0.1 -V 
+
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+
 +
| ID |        value        |          reason          | country | as | decisions |              created_at                |
 +
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+
 +
| 3  | Ip:172.26.2XX.100    | crowdsecurity/ssh-slow-bf |        |    | ban:1    | 2025-03-08 10:07:24.268224992 +0000 UTC |
 +
| 2  | Ip:172.26.2XX.100    | crowdsecurity/ssh-bf      |        |    | ban:1     | 2025-03-08 10:07:24.268879637 +0000 UTC |
 +
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+
 +
</pre>
  
−
=== Überprüfung, ob CrowdSec den Angriff erkannt hat === 
+
== Gebannte IP-Adressen anzeigen ==
−
* sudo cscli alerts list
+
Zeigt alle aktiven Sperrentscheidungen der Engine an.
 +
* cscli decisions list
  
−
=== Überprüfung, ob die angreifende IP gesperrt wurde ===  
+
<pre>
−
* sudo cscli decisions list  
+
╭───────┬──────────┬────────────────────┬───────────────────────────┬────────┬─────────┬────┬────────┬────────────────────┬──────────╮
 +
│  ID  │ Source  │    Scope:Value    │          Reason          │ Action │ Country │ AS │ Events │    expiration    │ Alert ID │
 +
├───────┼──────────┼────────────────────┼───────────────────────────┼────────┼─────────┼────┼────────┼────────────────────┼──────────┤
 +
│ 15002 │ crowdsec │ Ip:172.26.2XX.100 │ crowdsecurity/ssh-slow-bf │ ban    │        │    │ 13    │ 3h58m41.750831936s │ 3        │
 +
╰───────┴──────────┴────────────────────┴───────────────────────────┴────────┴─────────┴────┴────────┴────────────────────┴──────────╯
 +
</pre>
  
−
== Eigene IP-Adresse entsperren (falls gebannt) ==
+
== Ban aufheben ==
−
* sudo cscli decisions delete -i <deine-IP>
+
Entfernt den Ban für eine bestimmte IP-Adresse manuell.
 +
* cscli decisions delete --ip 172.26.2XX.100
 +
 
 +
== Live-Log der CrowdSec-Analyse ==
 +
Zeigt die laufende Analyse von CrowdSec in Echtzeit.
 +
* journalctl -u crowdsec -f
 +
 
 +
== Installierte Komponenten prüfen ==
 +
Gibt einen Überblick über alle aktiven Parser, Szenarien und Bouncer.
 +
* cscli parsers list
 +
* cscli scenarios list
 +
* cscli bouncers list
 +
 
 +
== Letzte SSH-Fehlversuche anzeigen ==
 +
Filtert das Systemjournal nach fehlgeschlagenen SSH-Anmeldeversuchen.
 +
* journalctl -u ssh -g "Failed password" --no-pager | tail -n 20

Aktuelle Version vom 24. Mai 2026, 09:01 Uhr

CrowdSec – SSH Brute-Force Erkennung

Voraussetzung

CrowdSec ist installiert und die Whitelist ist angepasst.

Installation der SSH-Collection

Installiert alle Parser und Szenarien für SSH-Brute-Force-Erkennung.

  • cscli collections install crowdsecurity/sshd
  • systemctl reload crowdsec

Installation des nftables Bouncers

Der Bouncer setzt erkannte Angriffe in nftables-Regeln um und blockt die Angreifer-IP.

  • apt install crowdsec-firewall-bouncer-nftables

Bouncer neu starten und prüfen

Nach der Installation wird der Bouncer gestartet und der Status geprüft.

  • systemctl restart crowdsec-firewall-bouncer
  • systemctl status crowdsec-firewall-bouncer

Bouncer-Verbindung zu CrowdSec prüfen

Zeigt ob der Bouncer korrekt bei der Engine registriert ist.

  • cscli bouncers list

Installierte SSH-Szenarien prüfen

Filtert die Szenarienliste auf SSH-relevante Einträge.

  • cscli scenarios list | grep ssh

Angriff vom Attacker durchführen

Passwortliste herunterladen

Hydra installieren

  • apt update
  • apt install hydra -y

Angriff starten

Hydra führt einen SSH-Brute-Force-Angriff gegen das Ziel durch.

Erkannte Angriffe anzeigen

Listet alle von CrowdSec erkannten und protokollierten Alerts auf.

  • cscli alerts list
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+
| ID |        value         |          reason           | country | as | decisions |               created_at                |
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+
| 3  | Ip:172.26.2XX.100    | crowdsecurity/ssh-slow-bf |         |    | ban:1     | 2025-03-08 10:07:24.268224992 +0000 UTC |
| 2  | Ip:172.26.2XX.100    | crowdsecurity/ssh-bf      |         |    | ban:1     | 2025-03-08 10:07:24.268879637 +0000 UTC |
+----+----------------------+---------------------------+---------+----+-----------+-----------------------------------------+

Gebannte IP-Adressen anzeigen

Zeigt alle aktiven Sperrentscheidungen der Engine an.

  • cscli decisions list
╭───────┬──────────┬────────────────────┬───────────────────────────┬────────┬─────────┬────┬────────┬────────────────────┬──────────╮
│  ID   │  Source  │    Scope:Value     │          Reason           │ Action │ Country │ AS │ Events │     expiration     │ Alert ID │
├───────┼──────────┼────────────────────┼───────────────────────────┼────────┼─────────┼────┼────────┼────────────────────┼──────────┤
│ 15002 │ crowdsec │ Ip:172.26.2XX.100  │ crowdsecurity/ssh-slow-bf │ ban    │         │    │ 13     │ 3h58m41.750831936s │ 3        │
╰───────┴──────────┴────────────────────┴───────────────────────────┴────────┴─────────┴────┴────────┴────────────────────┴──────────╯

Ban aufheben

Entfernt den Ban für eine bestimmte IP-Adresse manuell.

  • cscli decisions delete --ip 172.26.2XX.100

Live-Log der CrowdSec-Analyse

Zeigt die laufende Analyse von CrowdSec in Echtzeit.

  • journalctl -u crowdsec -f

Installierte Komponenten prüfen

Gibt einen Überblick über alle aktiven Parser, Szenarien und Bouncer.

  • cscli parsers list
  • cscli scenarios list
  • cscli bouncers list

Letzte SSH-Fehlversuche anzeigen

Filtert das Systemjournal nach fehlgeschlagenen SSH-Anmeldeversuchen.

  • journalctl -u ssh -g "Failed password" --no-pager | tail -n 20
Abgerufen von „http://wiki.ixheim.de/index.php?title=Crowdsec_SSH_Bruteforce_Beispiel&oldid=70381“