Mitigação de força bruta com fail2ban: jails, backends, status e como desbanir o próprio endereço

Objetivo

Ativar um jail do fail2ban sobre o log de autenticação de um serviço, consultar seu estado em tempo real, desbanir um endereço e impedir que os endereços usados na administração sejam banidos por engano.

Pré-requisitos

Privilégios de root; fail2ban instalado e com o serviço em execução; uma fonte de log que o filtro do fail2ban para esse serviço consiga interpretar (por exemplo, o log do sshd via journald ou um arquivo de log).

Passos

1. Nunca edite o jail.conf diretamente. A página jail.conf(5) distingue jail.conf/jail.d/*.conf (arquivos do pacote, sobrescritos a cada atualização) de jail.local/jail.d/*.local (sobrescritas locais, que persistem). Crie /etc/fail2ban/jail.local ou um arquivo em /etc/fail2ban/jail.d/.
2. Ative um jail e escolha como ele acompanha o log: seção [sshd] com enabled = true e backend = systemd quando o serviço registra logs apenas no journal (sem /var/log/auth.log nem /var/log/secure, como no Debian 12 e posteriores sem rsyslog). O padrão documentado é backend = auto, que "will try 'pyinotify', 'systemd' before 'polling'" (tenta 'pyinotify' e 'systemd' antes de 'polling'); com um backend baseado em arquivo, o jail não inicia se o arquivo de log não existir.
3. Proteja os endereços de administração antes de ativar qualquer outra coisa: adicione ignoreip = 203.0.113.0/24 198.51.100.10 à seção [DEFAULT]. A jail.conf(5) define ignoreip como a "list of IPs not to ban" (lista de IPs que não devem ser banidos) e aceita faixas CIDR.
4. Verifique a configuração com fail2ban-client -t e depois recarregue: fail2ban-client reload sshd (ou fail2ban-client reload para todos os jails). Um jail que define o próprio ignoreip substitui a lista de [DEFAULT], em vez de somá-la a ela.
5. Consulte o estado em tempo real quando quiser: fail2ban-client status sshd, que mostra a lista de banimentos atual do jail e seus contadores.
6. Se um endereço legítimo for banido, remova o banimento imediatamente: fail2ban-client unban 203.0.113.5, documentado como desbanimento do IP indicado "(in all jails and database)" (em todos os jails e no banco de dados); fail2ban-client unban --all remove todos os banimentos.

Resultado esperado

fail2ban-client status sshd mostra contagens crescentes de falhas para tentativas reais de força bruta e, ao atingir o limite, exibe o endereço infrator em "Banned IP list"; endereços em ignoreip nunca aparecem ali.

Limites e base de verificação

Uma incompatibilidade na fonte de log (um backend de arquivo monitorando um arquivo que o serviço já não grava, ou um filtro que não corresponde ao formato atual do log) pode deixar o jail em execução sem nunca contar uma falha. Confirme com fail2ban-client status <jail> que o contador de falhas aumenta durante um teste deliberado feito a partir de um endereço que não esteja em ignoreip. Para desfazer um jail, defina enabled = false na sobrescrita local e execute fail2ban-client reload; nenhum desses passos exige reinicialização do sistema, apenas o recarregamento do serviço fail2ban. Os banimentos são aplicados como regras de firewall; reiniciar o fail2ban pode reaplicar banimentos armazenados em seu banco de dados.