Atténuer les attaques par force brute avec fail2ban : jails, backends, état et débannissement de sa propre adresse

Objectif

Activer un jail fail2ban sur le journal d'authentification d'un service, consulter son état en direct, débannir une adresse et protéger les adresses utilisées pour l'administration contre un bannissement accidentel.

Prérequis

Privilèges root ; fail2ban installé et son service en cours d'exécution ; une source de journaux que le filtre fail2ban du service concerné sait analyser (par exemple le journal sshd via journald ou un fichier de log).

Étapes

1. Ne modifiez jamais jail.conf directement : jail.conf(5) distingue jail.conf/jail.d/*.conf (fournis par le paquet, écrasés lors d'une mise à jour) de jail.local/jail.d/*.local (surcharges locales qui persistent). Créez /etc/fail2ban/jail.local ou un fichier sous /etc/fail2ban/jail.d/.
2. Activez un jail et choisissez la manière dont il surveille le journal : section [sshd] avec enabled = true, et backend = systemd lorsque le service n'écrit que dans le journal systemd (ni /var/log/auth.log ni /var/log/secure, comme sous Debian 12 et versions ultérieures sans rsyslog). La valeur par défaut documentée est backend = auto, qui "will try 'pyinotify', 'systemd' before 'polling'" (essaie 'pyinotify', puis 'systemd', avant 'polling') ; avec un backend basé sur un fichier, le jail refuse de démarrer si ce fichier de log n'existe pas.
3. Protégez les adresses d'administration avant d'activer quoi que ce soit d'autre : ajoutez ignoreip = 203.0.113.0/24 198.51.100.10 dans la section [DEFAULT] ; jail.conf(5) définit ignoreip comme la "list of IPs not to ban" (liste d'adresses IP à ne pas bannir), et accepte les plages CIDR.
4. Vérifiez la configuration avec fail2ban-client -t, puis rechargez-la : fail2ban-client reload sshd (ou fail2ban-client reload pour tous les jails). Un jail qui définit son propre ignoreip remplace la liste de [DEFAULT] au lieu de s'y ajouter.
5. Consultez l'état en direct à tout moment : fail2ban-client status sshd, qui indique la liste des bannissements en cours du jail ainsi que ses compteurs.
6. Si une adresse légitime est bannie, levez immédiatement le bannissement : fail2ban-client unban 203.0.113.5, documenté comme débannissant l'IP indiquée "(in all jails and database)" (dans tous les jails et dans la base de données) ; fail2ban-client unban --all supprime tous les bannissements.

Résultat attendu

fail2ban-client status sshd affiche des compteurs d'échecs croissants pour de véritables tentatives de force brute et, une fois le seuil atteint, l'adresse fautive sous "Banned IP list" ; les adresses figurant dans ignoreip n'y apparaissent jamais.

Limites et base de vérification

Une incohérence de source de journaux (un backend fichier qui surveille un fichier que le service n'alimente plus, ou un filtre qui ne correspond pas au format de log actuel) peut laisser le jail actif sans qu'il compte jamais un échec : vérifiez avec fail2ban-client status <jail> que le compteur d'échecs augmente lors d'un test volontaire depuis une adresse absente de ignoreip. Pour désactiver un jail, définissez enabled = false dans la surcharge locale puis exécutez fail2ban-client reload ; aucune de ces étapes ne nécessite de redémarrer la machine, seulement de recharger le service fail2ban. Les bannissements sont appliqués sous forme de règles de pare-feu ; un redémarrage de fail2ban peut réappliquer les bannissements enregistrés dans sa base de données.