Fail2ban-client ile Engelleme Denetimi

Fail2ban-client ile Engelleme Denetimi

Bu tartışmada, fail2ban’in engelleme süreçlerini nasıl denetimleyebileceğimizi ve koşullara göre hangi sonuçları bekleyebileceğimizi somut örneklerle ele alıyoruz. Fail2ban, başta SSH olmak üzere çeşitli servislerde yetkisiz erişimi engellemek için logları tarar ve belirli kurallarla IP’leri kara listeye alır. Ancak engellemelerin nasıl uygulandığını ve uygulanıp uygulanmadığını kontrol etmek, güvenlik operasyonlarının sağlıklı işlemesi için kritik bir adımdır.

1) Fail2ban’un çalışma mantığı ve denetim hedefleri
Fail2ban, logları sürekli takip eder ve belirli bir süre içinde tekrarlanan başarısız girişimleri saptadığında ilgili IP’leri ban listesine ekler. Engellenen IP’lerin kaydı, fail2ban’in jails bölümünde tutulur. Denetimde ana hedefler: hangi IP’lerin hangi jails tarafından engellendiğini görmek, engellemenin süresini ve kaldırılmasını doğrulamak, loglarda engelleme ile ilgili hataları tespit etmektir. Örneğin, sshd jail’i için 5 başarısız girişimden sonra 10 dakika engelleme kuralı uygulanabilir ve bu durum bana loglarda şu şekilde yansır: ban time, iptables kuralı ve ban başlama/sona erme zamanları.

2) Komutlar ve temel doğrulama akışı

• fail2ban-client status ile mevcut jails ve toplam banlı IP sayısı görünür.
• fail2ban-client status sshd ile belirli jail’in içindekileri ve hangi IP’lerin engellendiğini listelemek için kullanılır.
• fail2ban-client banned ile tüm engellenen IP’leri genel olarak görmektense, iptables/nftables durumunu da dahil ederek sistem bantlarını kontrol etmek gerekir.
• fail2ban-client getactionname ile kullanılan eylemin adı ve parametreleri hakkında bilgi alabilirsiniz.
• fail2ban-client set bant sürelerini veya eşik değerlerini dinamik olarak değiştirmek mümkündür; bu, engellemelerin denetimini test etmek için kullanışlıdır.

3) Engellemenin uygulanabilirliğini doğrulama örnekleri

• SSH için başarısız girişim simülasyonu: Gerçek bir saldırı yerine güvenli bir test kullanıcı adı ve hatalı parolalarla denemeler yaparken, fail2ban’nin ilgili IP’yi engellediğini loglardan teyit etmek gerekir. Sistem günlüklerinde “Ban SOFT/Hard” mesajları ile ban süresi ve sınırı görünür.
• Engellemenin geri alınması: Ban süresi dolduğunda IP’nin tekrar erişime açılıp açılmadığını kontrol etmek adına loglar ve iptables/nftables kurallarındaki siyasi güncellemeler incelenir.
• Bailey testleri: Engelleme kalıcılığını kontrol etmek için belirli süreler içinde birden çok erişim denemesi yapılır; hatalı konfigürasyonlar halinde yanlış IP’ler veya yanlış jail nedeniyle engellemeler gerçekleşebilir; bu durum loglarda uyarı olarak yer alır.

4) Olası sorunlar ve çözümler

• Log format değişiklikleri: Servis güncellemeleriyle log formatı değiştiyse fail2ban kuralları etkilenebilir. Loglar üzerinde uyuşmama durumunu denetlemek için test logları üzerinden regex eşleşmeleri yeniden doğrulanır.
• Zayıf zaman senkronizasyonu: Ban süreleri doğru hesaplanmazsa engelleme süresi beklenenden uzun veya kısa olur. NTP’nin düzgün çalıştığından emin olmak gerekir.
• Engelleme listesinin aşırı büyümesi: Çok agresif eşikler, meşru kullanıcıların da engellenmesine yol açabilir. Bu yüzden aşamalı testler ve geri alma stratejileri önemlidir.

5) İleri düzey konular ve güvenlik operasyonu pratikleri

• Fail2ban’ı logstash/kibana gibi merkezi log çözümlerine entegre etmek, engelleme aktivitelerini tek ekrandan izlemeyi kolaylaştırır.
• Otomatik denetim scriptleri: Belirlenen aralıklarla fail2ban durumunu çıkaran ve beklenen engelleme davranışını raporlayan basit betikler yazmak, operasyonel farkındalık sağlar.
• Çok katmanlı güvenlik: Fail2ban ile birlikte diğer araçlar (örneğin web uygulama güvenlik duvarı) ile birleşik bir savunma sunmak, tek hataya karşı daha dayanıklı bir yapı kurar.

Bu yaklaşım üzerinden, siz kendi kurulumunuzda engelleme denetimini nasıl organize ediyorsunuz? Hangi jail’lar en kritik olunuyor ve karşılaştığınız özel bir denetim problemi var mı?