fail2ban-regex ile Günlük Kural Testi

Bu konuyu açarken amaç, fail2ban’in fail2ban-regex aracıyla günlük dosyalarını nasıl doğrulayacağınızı adım adım ve pratik örneklerle göstermek. Özellikle hata mesajları, iyileştirme ipuçları ve güvenlik duvarı konfigürasyonlarına dair gerçek dünyadan bir bakış sunmak istiyorum.

1. Giriş ve kavramsal temel: fail2ban-regex, fail2ban’ın günlük dosyalarında belirli bir desenin bulunup bulunmadığını test etmek için kullanılan bağımsız bir araçtır. Genelde iki kullanımı vardır: mevcut günlükleri test etmek ve yeni bir kuralın nasıl çalışacağını simüle etmek. Günlük dosyaları, hedef hizmetin güvenlik olaylarını (ör. SSH başarısız girişler) içerir ve deseni yakalamak için doğru regular expression’ı kullanmak esastır.
2. Desen tasarımı: Doğru desen, olay tipini ve zaman damgasını güvenilir şekilde yakalamalıdır. Örneğin SSH hatalı girişleri için “Failed password” veya “authentication failure” başlıkları yaygın olarak kullanılır. Ancak dağıtımınıza bağlı olarak farklı dize görünümleri olabilir; bu nedenle günlüklarınızda kullandığınız gerçek metinleri incelemek kritik bir adımdır.
3. Örnek senaryo: SSH için fail2ban-regex testi yaparken, önce /var/log/auth.log veya sistem günlüklerini hedef olarak belirleyin. Ardından test desenini şu şekilde hazırlayın:
   
   KOD Kopyala

   12
   grep -i "Failed password" /var/log/auth.log | head -n 50 > /tmp/testlog
   

   
   Bu dosyada deseninizi doğrulamak için fail2ban-regex ile:
   
   KOD Kopyala

   12
   fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf --ignore-case --logtarget /var/log/auth.log
   

   
   İşleyiş açısından test dosyasını doğrudan kullanmanız da mümkündür:
   
   KOD Kopyala

   12
   fail2ban-regex /tmp/testlog /etc/fail2ban/filter.d/sshd.conf
   

4. Çıktı analizi: Başarılı bir test, eşleşmenin bulunduğu satırlar ve bu satırların hangi IP’lerle ilişkilendirildiğini gösterir. Hata durumunda desende hangi bölümlerin eksik olduğu belirtilir; örneğin tarih formatı veya IP yakalama gruplarında sorun olabilir. Bu nedenle filtre ve aksiyon konfigürasyonlarınızı kontrollü biçimde adım adım doğrulamak gerekir.
5. Pratik ipuçları:
   
   • Günlük dosyası sürekli döngüdeyse, belirli bir zaman aralığını test edin (örn. son 1000 satır).
   • IPv6 adreslerinde yakalama sorunları için deseni genişletin veya ek regex grupları kullanın.
   • fail2ban-regex çıktısını log seviyesini artırarak daha ayrıntılı hata mesajları elde edin.
6. Sonuç ve güvenlik etkisi: Doğru desenlerle test edilmiş fail2ban kuralları, zararlı giriş denemelerini hızlıca engellerken yanlış alarmı azaltır. Bu da hizmet erişimini güvenli tutarken yöneticinin müdahale sürelerini kısaltır.

Nihai amaç, günlük verilerinizdeki desenleri güvenilir biçimde doğrulayıp, yanlış pozitif/negatif oranını minimize etmek ve bu sayede fail2ban’ın koruma katmanını istikrarlı biçimde çalıştırmaktır.