CROWDSEC vs. Fail2Ban - Crowdsec basics explained simply.
Вставка
- Опубліковано 4 лип 2023
- 🚩 Meine OPNsense Appliance: amzn.to/44zCqyX
🚩 Shop: amzn.to/3zUhIva
►► Mein Homelab: ipv64.net/homelab/homelab-202...
IT-Dienstleistungen (Coaching, Training, Beratung, Einrichtung)
bit.ly/3b20wc5
██ MINI PCs für Proxmox / pfSense / OPNsense / Server ██
Preis-/ Leistungssieger: amzn.to/2S92wJC
Leistungskiller: amzn.to/3glDHlM
Bester & Billig*: amzn.to/3crj9a2
██ NAS Systeme für Zuhause oder im Büro ██
Meine Empfehlung: amzn.to/2T8Awpf
Für Zuhause: amzn.to/34TBGYD
Preis-/Leistungssieger: amzn.to/3gfiXvL
██ Mini Reise Router Empfehlungen ██
Günstigster: amzn.to/3vWo4HQ
Der Sieger: amzn.to/3puC9Ke
Anfänger geeignet: amzn.to/2TPgEYQ
🔔 Social Media 🔔
► Twitch / rpicloud
► DynDNS-Dienst: ipv64.net/
► Amazon Analytics amzly.de
► 20€ Hetzner Geschenkt: hetzner.cloud/?ref=B7SA7EkDfqfL
► Spenden bit.ly/3saiyRn
► Discord / discord
► Twitter / dennis_schroed
► Webseite schroederdennis.de
► Mein Browsergame www.seekampf.de
Impressum bit.ly/3gfQANZ
*Alle Links zu Produkten oder Dienstleistungen sind Affiliate-Links und verändern in keinster Weise deinen zu bezahlenden Betrag, sondern unterstützen mich und den Kanal. Dafür #Danke - Наука та технологія
Das Thema in Verbindung mit nginx Reverse Proxy und Diensten wie Nextcloud, Bitwarden oder ähnlichem wäre sehr cool, auch die Integration in opnsense ist richtig interessant.
Für mich wäre ja Nginx Proxy Manager ein wichtiges Thema.
Und das blocken via Firewall wäre noch interessant.
Integration in Treafik mit vorgeschaltetem Cloudflare. Super Video!
Hallo Dennis, erstmal großes Lob du wirst wirklich immer besser. Gestern das Video super spannend und heute auch schon wieder ein tolles Thema. Danke dafür. Und mich würde CROWDSEC mit OPNsense interessieren.
Hey Dennis, sehr interessantes Video. Mich würde das interessieren für Bitwarden und Nextcloud. Schönen Abend noch.
Opnsense
Hört sich nach einer Lösung für alle an die sich keine Gedanken machen wollen ab wann man eine IP blocken soll oder wie man selbst Regeln schriebt. Gute Lösung für Ubuntu Admins 😁
Danke ich bleibe bei Fail2Ban. Das ist lokal und funktioniert ohne das Cloud Zeugs.
Hallo Dennis, bitte mit in Einbindung OPNsense. Danke!
Bouncer zum blocken via Firewalls (Pfsense) waer super spannend
Spannendes Thema, ich würde mich sehr über die integration in pfSense freuen
Hey Dennis, sehr interessantes Video. Integration in Opensense wäre super. Danke
Vielen dank für die Erklärung warte auf die weiteren Videos !
Sehr gerne!
Erst einmal wieder großes Lob für dieses Video! Wieder sehr gut und einfach erklärt Vielen Dank! Interessieren würde mich in jedem Fall die Integration in der Pfsense und auch in den HAProxy der in der Pfsense mit läuft.
Mich würde brennend interessieren wie man das in seiner OPNsense einbindet.
Cloudflare Anbindung wäre echt interessant.
Cool erklärt, schankedöön!
Ich habe zwei Dinge, die mir aufgefallen sind:
1. Soweit ich weiß gibt es das klassische "iptables" doch gar nicht mehr und arbeitet intern doch sowieso schon mit nftables. Ist das also als Fallback für ältere Systeme gedacht?
2. Der iptables-bouncer blockt alle Ports soweit ich das sehe aber wäre es bei einem Szenario, wo ich z.B. ssh Server und webserver habe nicht praktisch, wenn bei einer IP nur der ssh Port gedropt werden würde (ja geringere Sicherheit aber falls auf dem http/https Port auch etwas versucht wird könnte ja dieser ebenfalls geblockt werden). Ich denke halt für produktivsysteme wäre es schlecht, wenn jemand sein ssh passwort vergisst er auch die Webseite im Browser nicht mehr erreichen könnte. Ist vermutlich auch konfigurierbar.
Ich finde deine Videos auf jeden Fall sehr interessant und auch sehr Informativ. Ich arbeite selbst lange Jahre als sysadmin und kann bei dir auch noch neue Dinge lernen.
Die einfachste Lösung ist einfach eine kurze Banzeit. 10 Minuten reichen meiner Erfahrung nach völlig. Wer sich dann halt 10 mal falsch per SSH anmeldet, muss eben 10 Minuten warten um sich im Webinterface anzumelden.
Super video. Am besten die Lösung mit Proxmox, nginx Proxy Manager, OPNSense,(mit Crowdsec),Proxmox Mailgateway und ein Mail Server. Diese Kombi wäre für mich sehr interessant. Danke für deine Videos 👍🏻 . Gibt es eine Lösung bei der Hetzner DNS wie bei Cloudflare mit Crowdsec?
Mich interessiert die Absicherung meines Proxmox Server mit den klassischen LXC Anwendungen Vaultwarden, ngnix proxy manager, … wie sichere ich den Server im ganzen und speziell Anwendungen. Danke
Sehr spannend und mich interessiert opnsense
So wie das in der Liste sah gibts Custom Bouncer. Da könnte man sich wohl selbst einen Bouncer programmieren der mit der Hetzner API entsprechende Hetzner Cloud Firewall Einträge erstellt.
Danke - ich habe Zenarmor mit Zenconsole (die freie Version) auf pfSense installiert. Kannst Du sagen ob das auch in diese Richtung von Crowdsec geht?
Servus Dennis, super Video, freue mich auf den nächsten Teil. Für mich wäre es noch interessant, wie man z. B. folgende Server absichert: Yourls, Bookstack und Linux Webtop - das habe ich in fail2ban nicht geschafft, vielleicht gibt es bei Crowdsec Möglichkeiten dazu? Alle 3 laufen bei mir auch über meinen Nginx Proxy Manager, vielleicht kann man da ja was über den machen, Zentral quasi...
Sehr insteressant, Danke ;)
Mich würde interessieren, wie gut Crowdsec auf einem Tor Relay läuft (wegen SSH Brute force logins).
Mich würde auch die genauere Integration in OPNsense interessieren. Das Paket hatte ich schonmal angeklickt, aber noch noch nicht weiter damit befasst und konfiguriert.
Super Video, interessant wäre wie ich Dockercontainer die auf dem Proxmox Server laufen mit Crowdsec überwachen könnte .
Moin Dennis, wieder ein sehr geiles Video von dir. 👍👍 Mich würde der Bouncer für WP und FW interessieren. 😉
Hey. Besteht die Möglichkeit ein Video mit Crowdsec zu den Thema Vaultwarden machen? Würde zu den anderen Videos in Vergangenheit passen.
Ich würde mich sehr für die Cloudflare Applikation interessieren. ❤
Funktioniert das auch ohne den Cloudflare Proxy? Also ich nutze Cloudflare für meine Domains, die auf meine Server geleitet werden (DNS), nur ohne den Cloudflare Proxy Schutz. Außerdem verwende ich auch die Cloudflare DNS-Server für meinen Server.
Wenn eine IP wegen Apache2 Attack oder so gesperrt wird, wird er dann auch per SSH gebannt? - Falls ja, wäre es denke ich mal doof.
Coole Sache! Integration in nginx-Setups wäre super zu sehen :)
Hallo Denis,
kann man CrowdSec lokal und als Docker Installieren?
VG Musty
Nginx Reverse Proxy wäre sehr wichtig.
Datenschutz ist das eine.
Aber durch den externen Dienst macht man sich dann ja auch abhängig..
Nginx Proxy Manager, Bitwarden, Nextcloud und Unifi Firewall wenn es den sowas gibt
Hallo Dennis, Cool wäre noch eine Anleitung Mailcow mit Crowdsec absichern.
Ich mags nicht, wenn mir igendwas meine iptables ändert... "ip route add blackhole " geht das auch?
Tendenziell geht das auch, aber Crowdsec hat ja auch noch andere Bouncers, evtl. sind die ja was für dich.
14:29 ich dachte bei mir klingelt es
Hallo Dennis, spannend Pfsense würde mich sehr interessieren!
Was ich noch nicht ganz verstanden habe ist, sperrt Crowdsec auch IPs(direkt lokal), wenn diese z.B. 5 fehlgeschlagene Anmeldeversuche getätigt haben? Bei fail2ban kann ich bei den jails ja einen threshold einstellen - z.B. 5 fehlerhafte Anmeldungen innerhalb 30 min bei SSH -> dann block IP für 3 Stunden
Oder werden nur die "bösen" IPs gemeldet und die gesamte Liste dann blockiert?
Auch das kannst du genau so bei Crowdsec einstellen.
PHP + Nginx proxy Manager 👍🏼
Moin Dennis, top Video! Mich würde die Integration in pfSense, Mailcow und Traefik interessieren.
Ja, scheinbar wollen viele pfsense und/oder opnsense sehen
Hallo Dennis, tolles Video. Du hast es sehr gut erklärt. Bzgl Integration würde mich interessieren ob es möglich wäre CrowdSec in Plesk, Nextcloud, SoGo Webmail, Poistfix und Dovecot zu integrieren. ^^
Ja alles möglich.
mir wäre im ersten Schritt die Firewall Lösung auch die wichtigere
Kann ich dat auf verschiedenen VMs installieren mit der Free version?
Ja kannst du!
Nextcloud und Wordpress denke ich wäre eine gute Option, beides sehr weit verbreitet.
crowdsec mit Mikrotik integrieren wäre interessant. Derzeit verwende ich fail2ban mit einem eigenen script der in der vorgeschalteten Mikrotikfirewallrouter die IPs blockiert.
Ja bei Mikrotik muss man den Crowdsec Mirror installieren
CROWDSEC mit OPNsense aber auch mit PHP
Super!
Ich bin Linux Wiedereinsteiger und mich interessiert alles von Crowdsec.
Mega! Mich würde OPNsense Bouncer und NPM oder Nextcloud interessieren.
Okay..
Super Lösung. Wenn ich sagen wir mal 5 oder 50 Server habe und in deren logs fake-SSD-login Versuche injecte, dann dürfte es möglich sein IPs die eigentlich gar keine Angriffe durchführen auf die öffentliche Bannliste zu setzen. Das wird ein Spaß.
So sieht das aus! Oder ich spoofe fremde IPs, die dann munter in weltweiten Blocklisten landen. So kann ich natürlich auch die Konkurrenz lahm legen oder jemand DoSen. Oder sorgt CrowdSec da irgendwie vor?
Dagegen schützt sich crowdsec, hab ich gelesen in deren Doku. Beispielsweise müsstest du deine 50 Server in unterschiedliche AS packen. Außerdem fällt es auf wenn deine 50 Server "böse IPs" sehen, die nirgends sonst auftauchen. Dann merken die, dass deine 50 Server zusammengehören und manipuliert sind. Es gibt eine Art "Reputation". Schau Mal in der Doku, da stehen Antworten auf deine Bedenken.
Pfsense wäre geil😊
wegen dem "datenschutz"" stell mir gerade den hacker vor wie er ne dsgvo abmahnung an den server betreiber schickt. hat er ja nicht zugestimmt zur datenverarbeitung seinerseits. hat ja das cookie banner gefällt. xD
Gaaanz normal
pfSense, pfSense, pfSense!!!
achso hab ich schon pfSense gesagt??
Mikrotik Integration natürlich ;)
Das geht leider nicht direkt, sondern nur über den Crowdsec Mirror und dann Einbindung über die IP Listen.
@@RaspberryPiCloud danke für die schnelle antwort.
Attack Mich nie wieder from the side!
Ich kann die Loblieder auf Fail2ban nicht nachvollziehen, vielmehr halte ich ich den Namen für Programm. Fail und das by Design. Anhand von Logs Aktionen wie das Sperren auszulösen ist einfach fundamental falsch. CrowdSec übernimmt die Schwäche und fügt noch Cloud hinzu, was kann da schon schiefgehen.
Und anhand von was würdest du entscheiden was ein Angreifer oder fehlgeleitete Zugriffe sind? Luft und Liebe ?
Was wäre denn eine sinnvolle Alternative?
@@RaspberryPiCloud Direkt an der Quelle. Dafür gibt es z.B. für SSH das PAM-Modul tally bzw. tally2. Sonst soll das halt der jeweilige Authentifizierungsdienst tun. So mache ich das auf meinen Servern und bin damit bisher gut gefahren. Dagegen hat mich letztens Mailcow ausgesperrt, weil meine Tochter zu oft das falsche Passwort eingegeben hat und bumms kommt man nicht mal mehr mit SSH drauf. Tolle Sache. Und doch lässt sich das heute lächerlich leicht umgehen, ab über Nordvpn & Co und das Problem ist erledigt. Damit schafft man halt keine Sicherheit mehr, die Zeiten sind längst vorbei.
Irgendwoher muss fail2ban & crowdsec die ip's/zugriffe herbekommen...
Wie soll das anders gehen?
Bei sowas wie opnsense/pfsense/andere firewalls kann mann das natürlich direkt lowlevel machen mit plugins oder regeln die loggen...
Aber damit sieht mann halt nur die Zugriffe/connections, die Firewall hat doch keine Ahnung ob sich der user erfolgreich authentifiziert hat (php/nginx/etc), oder grade versucht ssh Zugriff zu bekommen, und so weiter...
Das muss halt anhand der logs von den jeweiligen Applikationen geschehen.
Deswegen, wie soll das denn anders gehen?
Sone Sophos enterprise firewall die du davor schaltest, gleicht einfach nur datenbanken von Sophos oder Cisco/Barracuda Networks etc ab...
Macht dann auch nur IDS/IPS, aber kann halt nicht unterscheiden ob sich jemand in deiner app erfolgreich einloggt oder sich langsam durch bruteforced...
Langsam, weil schnell bruteforcen, macht fast niemand mehr, die Chinesen haben gelernt das die dann geblockt werden 😂
Ich sehe z.b. auf meinem Mailserver wie sich da paar IP Adressen versuchen alle 5 Minuten non-stop 24/7 einzuloggen 😂
Sowas filtert auch die beste Firewall nicht, weil die halt nur alle 5min tcp packete sieht auf port 465.
Das könnte halt alles mögliche sein. Und IDS ist auch noch nicht so non-plus-ultra das die erkennt das es nur fehlgeschlagene logins sind. Vor allen nicht bei SSL Verbindungen.
LG
@@kriffos ja aber genau darum geht's doch.
Bei dir bist dann nur über ssh geblockt bei mehreren falschen Versuchen.
Was macht telly anders? Das tally pam modul greift auch nur die logins ab und loggt die irgendwohin.
Ist für mich das gleiche wie ein Fail2Ban der nen tail macht. Performance technisch macht das kein Unterschied, sicherheitstechnisch auch nicht.
Manche Leute wollen halt crowdsec damit einfach alles abgeblockt wird von der ip.
Und deine vpn Lösung hilft bei bruteforce auch nur bedingt.
Die vpn betreiber haben keine unendliche ip range und 99% der Angriffe kommen immernoch aus den gleichen Netzen.
Ich sehe da halt eben keinen Vorteil, basically was ich bei dir rauslese ist:
Aja die hacker können ips ändern mit VPN, da brauchen wir uns dann gar nicht mehr zu schützen 🤷
nginxproxymanager