fail2ban apprend de votre serveur. L'agent apprend de tous les serveurs. Il lit les mêmes journaux, comptabilise les mêmes échecs et bloque les mêmes adresses ; en outre, il met à jour la Community Blacklist dans ipset ou nftables, de sorte qu'une adresse qui a attaqué quelqu'un d'autre ce matin ne bénéficie jamais d'une première chance ici.
187 sur 189
parmi les adresses sshd que fail2ban avait bloquées sur un serveur de production, et qui ont été détectées à nouveau par l'agent. Les deux qu'il n'a pas détectées étaient des adresses de test.
+78
de véritables attaquants sur ce même hôte que fail2ban n'avait absolument pas détectés. FTP : trois sur trois.
0,085 %
d’un cœur de processeur, mesurée en temps réel avec sept fichiers journaux sous surveillance, pour 16,6 Mo de mémoire résidente.
Zéro
ligne de journal, payload ou User-Agent ne nous est envoyé. Un rapport comprend une adresse, des identifiants de catégorie et une phrase générée.
Une liste de blocage établie à partir de vos propres journaux ne peut contenir que les attaquants qui vous ont déjà repéré. C'est la limite inhérente à tous les outils de la génération « fail2ban », et ce n'est pas un défaut de fail2ban : on ne lui a jamais fourni autre chose qu'un journal local. Ainsi, chaque serveur sur Internet apprend la même leçon séparément, à ses propres frais, tentative après tentative. L'agent conserve l'intégralité de cette détection locale et y ajoute la moitié de l'information que vos propres journaux ne peuvent pas vous fournir.
Les deux analysent vos journaux. Un seul d'entre eux sait ce qui s'est passé sur le serveur d'un tiers. C'est la première ligne qui est déterminante, et c'est sur la dernière ligne que fail2ban s'impose.
| Ce qui doit se passer | fail2ban | Agent ReportedIP |
|---|---|---|
| Les attaquants qui n'ont pas encore atteint ce serveur | En dehors de sa conception. La liste de bannissement ne contient que ce que cet hôte a vu lui-même. | Dans ipset ou nftables, toutes les 15 minutes sur un serveur Professional sous licence, à partir des Reports de tous les autres hôtes du réseau. |
| Attaques consignées dans les journaux de ce serveur | Une « jail » et un ensemble d'expressions régulières par service, configurées manuellement. | Treize sources avec des seuils intégrés. Comparaison avec fail2ban sur un serveur en production : 187 adresses sur 189, plus 78 autres. |
| Ce qu'il faut installer pour cela | Python et ses modules, mis à jour avec le reste du système. | Un seul binaire statique, pas de cgo, pas d'interpréteur, rien d'autre. |
| Vérifier un journal avant de se fier aux règles | fail2ban-regex. | reportedip-agent test, qui compte comme le démon et ne modifie rien sur l'hôte. |
| Bloquer une détection locale | Sa raison d'être même. | Cette option est facultative et désactivée par défaut ; elle est associée à un délai d'expiration au niveau du noyau, de sorte qu'aucun blocage ne subsiste une fois l'agent arrêté. |
| Ce que ça coûte | Rien. C'est un logiciel libre, et il reste installable parallèlement à l'agent. | 4,90 euros par mois et par serveur, TTC, à partir de la formule Professional. |
Agent serveur Linux · à partir de Professional
À qui s'adresse ce produit ?
À tous ceux qui exploitent des serveurs Linux : hébergeurs, agences et administrateurs, qu'ils disposent d'un seul serveur ou d'une cinquantaine.
Tarifs
Un serveur inclus avec la formule « Professional », trois avec la formule « Business ». Serveurs supplémentaires à partir de 4,90 € par mois, TTC.
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent install --key "YOUR_API_KEY"Le programme « doctor » indique ce que cet hôte apporte et ce qui lui manque, sans rien modifier : ni fichier, ni règle, ni ensemble. Le test fait fonctionner les détecteurs sur un journal réel et affiche quelles adresses auraient dépassé leur seuil et à quel moment, sans signaler ni bloquer quoi que ce soit. L'installation démarre ensuite en mode journalisation, de sorte que les règles vérifient et enregistrent dans le journal avant même de rejeter un paquet.
Non. Chaque type d'attaque qui passait auparavant par une « jail » dispose désormais de son propre détecteur analysant le journal d'origine, et cela a été vérifié plutôt que supposé : sur un hôte de production, l'agent a identifié 187 des 189 adresses sshd que fail2ban avait bannies, ainsi que 78 autres qu'il avait manquées. fail2ban reste disponible en tant que source optionnelle pour les hôtes qui l'utilisent encore, et un hôte qui ne l'utilise pas n'y perd rien.
Lancez reportedip-agent test sur vos propres journaux. Il exécute la chaîne de détection sur les fichiers que vous spécifiez, y compris ceux compressés au format gzip, affiche quelles adresses auraient dépassé quel seuil et à quel moment, sans rien signaler, sans rien bloquer et sans rien écrire en dehors de votre terminal. Laissez ensuite l’agent en mode journalisation pendant quelques jours, puis comparez les résultats. Pour réactiver fail2ban, une simple commande `systemctl` suffit, car l'agent n'écrit jamais dans sa configuration.
Chaque licence supplémentaire coûte 4,90 € par mois ou 49 € par an, TVA comprise, et le prix par licence diminue à mesure que le nombre augmente : 3,90 € à partir de cinq licences, 2,90 € à partir de dix, 1,90 € à partir de vingt-cinq et 1,40 € à partir de cinquante. Le seuil atteint s'applique à toutes les licences, et pas seulement à celles situées au-dessus. Contrairement aux autres produits, il n'existe pas de formule Free pour l'agent.
Seul le téléchargement du flux est mis en pause. La liste déjà présente dans le noyau est conservée et continue de bloquer les menaces ; la détection et le blocage locaux continuent de fonctionner, les Reports continuent d'être générés et l'agent continue de se mettre à jour. Un serveur ne se retrouve jamais sans protection en raison d'une facture impayée.
Non. Les serveurs constituent un pool distinct, comptabilisé séparément des domaines du plugin Hive. Le multiplicateur de volume « Business » augmente le nombre de domaines, mais pas le nombre de serveurs inclus.
L'adresse, les identifiants de Threat Category et une phrase générée. En aucun cas une ligne de journal, un nom d'utilisateur, le corps d'une requête, un User-Agent ou une URL. Un serveur s'identifie à l'aide d'un identifiant d'installation aléatoire créé lors de l'installation, et non à l'aide de son nom.
Sur un serveur sous licence de la formule Professional, l’agent actualise les données toutes les 15 minutes et récupère tout ce qui a obtenu un Confidence Score de 75 ou plus. La requête est conditionnelle : ainsi, une liste qui n’a pas changé renvoie un code 304 et ne transfère aucune donnée, ce qui explique pourquoi un intervalle court est peu coûteux. Le transfert vers les ensembles du noyau est atomique ; il n’y a donc jamais de moment où un ensemble est vide. Ce qu’un forfait achète, ce sont l’actualité et la profondeur du flux ; la détection locale, le blocage local et la génération de rapports n’en dépendent pas.
Même ensemble de données, forme différente.
Plugin WordPress · Gratuit
Sécurité WordPress en temps réel grâce à 16 capteurs de détection, un Web Application Firewall, quatre méthodes d'authentification à deux facteurs (2FA) et un réseau communautaire de détection des menaces accessible sur inscription. Gratuit et open source pour toujours.
REST Threat Intelligence · Formule Free
Le moteur de réputation qui est au cœur de tout. Interrogez des adresses IP, envoyez des rapports, récupérez la Blacklist et effectuez des opérations en masse depuis n'importe quel langage, fail2ban, SIEM, pare-feu ou panneaux d'hébergement.
Flux à télécharger · Gratuit
Community Blacklist, notée automatiquement à partir de Reports en temps réel. Formats texte brut, JSON et CSV, compatibles avec fail2ban, iptables, nginx ou tout autre outil utilisant des Blocklists.
Add-on DNSBL en temps réel · version PRO
Posez une question au DNS plutôt que de télécharger une liste : votre serveur de messagerie vérifie l'adresse en temps réel, de la même manière qu'il interroge déjà Spamhaus. Pas d'importation, des informations toujours à jour.
Diagnostics DNS · Gratuit
Diagnostic de l'état de santé des domaines à partir de 76 résolveurs répartis sur 6 continents. Validez les protocoles SPF, DKIM, DMARC et DNSSEC, effectuez des recherches dans les listes DNSBL et suivez la propagation lors des migrations.
Vérification PTR · Gratuit
Résolvez l'enregistrement PTR d'une adresse IPv4 ou IPv6 et vérifiez s'il renvoie bien l'adresse d'origine. Un enregistrement PTR non validé est la raison la plus courante pour laquelle un serveur de messagerie est bloqué à l'entrée.
Un serveur inclus avec la formule « Professional », trois avec la formule « Business ». Serveurs supplémentaires à partir de 4,90 € par mois, TTC.