Jeśli korzystasz z serwera Linux z Nginx, SSH lub WordPressem, prawdopodobnie znasz już Fail2Ban. Jest to dobre narzędzie, ale działa lokalnie — blokuje tylko adresy IP, które zaatakowały Twój serwer.
CrowdSec działa zupełnie inaczej. To system ochrony oparty o współdzieloną reputację IP. Jeśli tysiące serwerów na świecie wykryją atakujące IP, Twój serwer może je zablokować zanim jeszcze spróbują ataku.
Jak działa CrowdSec?
- analizuje logi systemowe (nginx, ssh, wordpress)
- wykrywa podejrzane zachowanie
- wymienia informacje o atakujących IP z innymi serwerami
- blokuje ruch na poziomie firewalla
Efekt? Większość botów i skanerów internetu nigdy nie dociera do Twojego Nginxa.
Instalacja CrowdSec na Debian / Ubuntu
Instalacja CrowdSec jest bardzo prosta i dostępna bezpośrednio z repozytoriów Debiana.
|
1 2 |
apt update apt install crowdsec |
Podczas instalacji CrowdSec automatycznie:
- tworzy lokalne API (LAPI)
- rejestruje serwer w CrowdSec Central API
- pobiera podstawowe scenariusze bezpieczeństwa
Instalacja firewall bouncer
CrowdSec sam wykrywa zagrożenia, ale potrzebuje komponentu wykonawczego — tzw. bouncera, który blokuje ruch w firewallu.
|
1 |
apt install crowdsec-firewall-bouncer |
Domyślnie bouncer korzysta z nftables i automatycznie dodaje reguły blokujące adresy IP.
Instalacja kolekcji bezpieczeństwa
Kolekcje zawierają parsery logów oraz scenariusze wykrywania ataków.
|
1 2 3 4 |
cscli collections install crowdsecurity/nginx cscli collections install crowdsecurity/wordpress cscli collections install crowdsecurity/base-http-scenarios cscli collections install crowdsecurity/sshd |
Po instalacji przeładuj konfigurację:
|
1 |
systemctl reload crowdsec |
Konfiguracja logów Nginx
Aby CrowdSec analizował ruch HTTP, należy wskazać logi Nginx.
Edytuj plik:
|
1 |
nano /etc/crowdsec/acquis.yaml |
Dodaj konfigurację:
|
1 2 3 4 5 |
filenames: - /var/log/nginx/access*.log - /var/log/nginx/error*.log labels: type: nginx |
Następnie uruchom ponownie usługę:
|
1 |
systemctl restart crowdsec |
Sprawdzenie działania CrowdSec
Status usługi:
|
1 |
systemctl status crowdsec |
Lista aktywnych banów:
|
1 |
cscli decisions list |
Statystyki działania:
|
1 |
cscli metrics |
Efekt końcowy
Po poprawnej instalacji CrowdSec:
- serwer automatycznie blokuje znane botnety
- ataki WordPress i brute-force SSH są zatrzymywane na firewallu
- Nginx obsługuje mniej złośliwego ruchu
- CPU i IO serwera są znacząco odciążone
CrowdSec można traktować jako ewolucję Fail2Ban — system, który nie tylko reaguje lokalnie, ale korzysta z globalnej inteligencji zagrożeń.