Optimisation de la sécurité de la performance et virtualisation d'un serveur linux.

2.3.2 Fail2ban

Fail2ban est un script surveillant les accès réseau grâce aux logs des serveurs. Lorsqu'il détecte des erreurs d'authentification répétées, il prend des contre-mesures en bannissant l'adresse IP grâce à iptables. Cela permet d'éviter nombre d'attaques force brute et/ou par dictionnaire.

Généralement Fail2Ban est utilisé pour mettre à jour les règles de pare-feu pour rejeter les adresses IP pour une marge de temps spécifié, bien que toute autre action arbitraire ,par exemple l'envoi d'un e-mail, pût également être configurée. la boîte Fail2Ban est livré avec des filtres pour divers services (apache, courrier, ssh, etc.).

Fail2Ban est capable de réduire le taux des tentatives d'authentifications incorrectes mais il ne peut pas éliminer le risque que la faiblesse des services d'authentifi-cation qu'il faut les Configurer à utiliser seulement deux facteurs ou des mécanismes d'authentification public / privé si on veut vraiment les protéger.Son fonctionnement se base sur divers actions , filtres et "jails" .[Voir Annexe F page 81].

FIGURE 2.16 - Exemple d'actions fail2ban

Le rôle des filtres est d'indiquer à fail2ban quelles chaînes à rechercher dans les logs, et comment en extraire l'adresse IP. Les jails à son rôle indiquent à fail2ban dans quels logs rechercher ces chaînes, combien d'échecs tolérés, quels ports bloquer et pendant combien de temps.

2.3. Les pare-feux et les anti-crackages 41

FIGURE 2.17 - Mécanisme de fonctionnement fail2ban

FIGURE 2.18 - Blocage d'une connexion ssh par fail2ban

On peut ensuite vérifier directement par Fail2ban les IP bloquées avec la commande "fail2ban-client status ssh" , ssh pour filtrer tous les autres services.

FIGURE 2.19 - Liste des ip bloquées par fail2ban

la protection de tous ses outils se limite c'est là où les systèmes de détection d'in-trusion viennent compléter ses fonctions : au travers d'une surveillance de l'identité des requêtes en circulation sur le réseau, ces outils sont à même de repérer les requêtes malintentionnées, de repérer les intrus dans le flot du trafic courant transitant par les ports de communication laissés ouverts par le firewall.

42 Chapitre 2. Sécurisation du serveur