fail2ban aprende de tu servidor. El agente aprende de todos los servidores. Lee los mismos registros, cuenta los mismos fallos y bloquea las mismas direcciones; además, mantiene la Community Blacklist en ipset o nftables, por lo que una dirección que haya atacado a otra persona esta mañana nunca tendrá aquí un primer intento.
187 de 189
de las direcciones de sshd que fail2ban había bloqueado en un servidor de producción y que el agente volvió a detectar. Las dos que no encontró eran direcciones de prueba.
+78
atacantes reales en ese mismo servidor que fail2ban no había detectado en absoluto. FTP: tres de tres.
0,085 %
de un núcleo de CPU, medido en tiempo real con siete archivos de registro en supervisión, con 16,6 MB de memoria residente.
Cero
líneas de registro, payloads o User-Agents se nos envían. Un informe consta de una dirección, identificadores de categoría y una frase generada.
Una lista de bloqueo creada a partir de tus propios registros solo puede incluir a los atacantes que ya te han localizado. Ese es el límite de todas las herramientas de la generación «fail2ban», y no es un fallo de fail2ban: lo único que se le ha proporcionado son los registros locales. Así pues, cada servidor de Internet aprende la misma lección por separado, a su costa, intento a intento. El agente conserva íntegramente esa detección local y añade la información que tus propios registros no pueden proporcionarte.
Ambos leen tus registros. Solo uno de ellos sabe lo que ha ocurrido en el servidor de otra persona. La primera línea es la que decide, y la última línea es donde fail2ban sale ganando.
| Lo que tiene que pasar | fail2ban | Agente ReportedIP |
|---|---|---|
| Los atacantes que aún no han llegado a este servidor | Al margen de su diseño. La lista de bloqueo solo contiene lo que este servidor ha visto por sí mismo. | En ipset o nftables, cada 15 minutos en un servidor Professional con licencia, a partir de los Reports de todos los demás hosts de la red. |
| Ataques registrados en los propios registros de este servidor | Una «jail» y un conjunto de expresiones regulares por servicio, ajustadas manualmente. | Trece fuentes con umbrales integrados. Comparación con fail2ban en un servidor en producción: 187 de 189 direcciones, más otras 78. |
| Lo que hay que instalar para ello | Python y sus módulos, actualizados junto con el resto del sistema. | Un binario estático, sin cgo, sin intérprete, nada más. |
| Revisar un registro antes de confiar en las reglas | fail2ban-regex. | reportedip-agent test, que cuenta igual que el demonio y no modifica nada en el servidor. |
| Bloquear una detección local | Su razón de ser. | Es opcional y está desactivado por defecto; cuenta con un tiempo de espera del núcleo, por lo que nada permanece bloqueado una vez que el agente se detiene. |
| Cuánto cuesta | Nada. Es software gratuito y se puede seguir instalando junto con el agente. | 4,90 euros al mes por servidor, IVA incluido, a partir del plan Professional. |
Agente de servidor Linux · desde Professional
A quién va dirigido
Cualquiera que gestione servidores Linux: proveedores de alojamiento, agencias y administradores, ya sea con un servidor o con cincuenta.
Precios
El plan «Professional» incluye un servidor; el plan «Business», tres. Servidores adicionales a partir de 4,90 € al mes, IVA incluido.
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent install --key "YOUR_API_KEY"El programa «doctor» informa de lo que aporta este host y de lo que le falta, sin modificar nada: ni archivos, ni reglas, ni conjuntos. La prueba ejecuta los detectores sobre un registro real e indica qué direcciones habrían superado su umbral y cuándo, sin notificar ni bloquear nada. A continuación, la instalación se inicia en modo de registro, de modo que las reglas se aplican y registran los datos antes de descartar ningún paquete.
No. Cada tipo de ataque que solía llegar a través de una «jail» cuenta con su propio detector que lee el registro original, y eso se comprobó en lugar de darse por sentado: en un servidor de producción, el agente detectó 187 de las 189 direcciones de sshd que fail2ban había bloqueado, y otras 78 que se le habían pasado por alto. fail2ban sigue estando disponible como una fuente opcional para los servidores que aún lo ejecutan, y un servidor que no lo tenga no pierde nada.
Ejecuta reportedip-agent test sobre tus propios registros. Ejecuta la cadena de detección sobre los archivos que indiques, incluidos los comprimidos con gzip; muestra qué direcciones habrían superado qué umbrales y cuándo, y no genera ningún informe, no bloquea nada ni escribe nada fuera de tu terminal. A continuación, deja el agente en modo de registro durante unos días y compara los resultados. Para volver a activar fail2ban basta con un solo comando `systemctl`, ya que el agente nunca escribe en su configuración.
Cada licencia adicional cuesta 4,90 € al mes o 49 € al año, IVA incluido, y el precio por licencia se reduce a medida que aumenta el número: 3,90 € a partir de cinco licencias, 2,90 € a partir de diez, 1,90 € a partir de veinticinco y 1,40 € a partir de cincuenta. El nivel alcanzado se aplica a todas las licencias, no solo a las que están por encima de él. A diferencia del resto de productos, no existe un plan Free para el agente.
Solo se detiene la descarga del feed. La lista que ya se encuentra en el núcleo permanece y sigue bloqueando; la detección local y el bloqueo local siguen funcionando; los Reports siguen generándose y el agente sigue actualizándose. Un servidor nunca queda desprotegido por una factura pendiente.
No. Los servidores forman un grupo propio y se contabilizan por separado de los dominios del plugin Hive. El multiplicador de volumen de Business aumenta el número de dominios, pero no el número de servidores incluidos.
La dirección, los identificadores de Threat Category y una frase generada. Nunca una línea de registro, un nombre de usuario, el cuerpo de una solicitud, un User-Agent ni una URL. Un servidor se identifica mediante un identificador de instalación aleatorio creado durante la instalación, no con su nombre.
En un servidor con licencia del plan Professional, el agente actualiza los datos cada 15 minutos y recoge todo lo que haya obtenido un Confidence Score de 75 o superior. La solicitud es condicional, por lo que una lista que no haya cambiado responde con un 304 y no transfiere nada, lo que hace que un intervalo corto resulte económico. El intercambio con los conjuntos del núcleo es atómico, por lo que nunca hay un momento en el que un conjunto esté vacío. Lo que se adquiere con el plan es la actualidad y la profundidad de la fuente de datos; la detección local, el bloqueo local y la generación de informes no dependen de ello.
El mismo conjunto de datos, pero con una forma diferente.
Plugin de WordPress · Gratuito
Seguridad en tiempo real para WordPress con 16 sensores de detección, un Web Application Firewall, cuatro métodos de autenticación 2FA y una red comunitaria de amenazas de participación voluntaria. Gratuito y de código abierto para siempre.
REST Threat Intelligence · Plan Free
El motor de reputación que lo gestiona todo. Consulta direcciones IP, envía informes, recupera la Blacklist y realiza operaciones masivas desde cualquier lenguaje, fail2ban, SIEM, cortafuegos y paneles de alojamiento.
Feed descargable · Gratis
Community Blacklist, con puntuación automática a partir de Reports en tiempo real. Texto sin formato, JSON y CSV, compatible con fail2ban, iptables, nginx o cualquier otro programa que utilice Blocklists.
Add-on DNSBL en tiempo real · de PRO
En lugar de descargar una lista, haz una consulta al DNS: tu servidor de correo busca la dirección en tiempo real, del mismo modo que ya consulta a Spamhaus. Sin importaciones, siempre actualizada.
Diagnóstico de DNS · Gratis
Diagnóstico del estado de los dominios a partir de 76 servidores de resolución repartidos por 6 continentes. Valida SPF, DKIM, DMARC y DNSSEC, realiza búsquedas en listas negras de DNS (DNSBL) y realiza un seguimiento de la propagación durante las migraciones.
Comprobación de PTR · Gratis
Resuelve el registro PTR de una dirección IPv4 o IPv6 y comprueba si se resuelve a su vez. Un registro PTR que nadie confirma es la razón más habitual por la que se rechaza un servidor de correo en la entrada.
El plan «Professional» incluye un servidor; el plan «Business», tres. Servidores adicionales a partir de 4,90 € al mes, IVA incluido.