Configurando fail2ban con SquirrelMail en CentOS 5.3/ISPConfig 3

4. Reiniciando fail2ban

Se requiere un reinicio del demonio fail2ban para cargar los cambios realizados:

service fail2ban restart

5. Probando el registro de direcciones de origen correctas

cd /var/lib/squirrelmail/prefs  
tail -f squirrelmail_access_log

Inicie sesión en su interfaz web de SquirrelMail.

Interfaz de SquirrelMail

En la ventana del terminal del sistema operativo, verá que la dirección de origen del inicio de sesión exitoso aparece en el archivo squirrelmail_access_log abierto:

08/03/2009 10:17:33 [LOGIN] [email protected] (localhost) desde XXX.XXX.XX.XX:
08/03/2009 10:18:13 [LOGOUT] [email protected] (localhost) desde XXX.XXX.XX.XX:

Salga de su sesión de SquirrelMail pero deje el archivo squirrelmail_access_log abierto después de ver la dirección de origen correcta.

6. Probando inicios de sesión no autorizados

Inicie sesión varias veces en la interfaz web de SquirrelMail utilizando nombres de usuario y/o contraseñas incorrectas. Esto creará eventos de error en el archivo squirrelmail_access_log:

08/03/2009 10:37:35 [LOGIN_ERROR] u37458734 (localhost) desde XXX.XXX.XX.XX: Usuario desconocido o contraseña incorrecta.
08/03/2009 11:22:19 [LOGIN_ERROR] wetwetr (localhost) desde XXX.XXX.XX.XX: Usuario desconocido o contraseña incorrecta.
08/03/2009 11:22:30 [LOGIN_ERROR] 7846587435836 (localhost) desde XXX.XXX.XX.XX: Usuario desconocido o contraseña incorrecta.

Cierre el archivo squirrelmail_access_log:

Ctrl-c

Verifique que fail2ban pueda atrapar estos errores:

fail2ban-regex /var/lib/squirrelmail/prefs/squirrelmail_access_log /etc/fail2ban/filter.d/squirrelmail.conf

Ejecutando pruebas
============= 

Usar archivo regex : /etc/fail2ban/filter.d/squirrelmail.conf
Usar archivo de registro   : /var/lib/squirrelmail/prefs/squirrelmail_access_log


Resultados
=======

Failregex
|- Expresiones regulares:
|  [1] \[LOGIN_ERROR\].*desde : Usuario desconocido o contraseña incorrecta
|
`- Número de coincidencias:
   [1] 14 coincidencia(s)

Ignoreregex
|- Expresiones regulares:
|
`- Número de coincidencias:

Resumen
=======

Direcciones encontradas:
[1]
    XXX.XXX.XX.XX (Lun Ago 03 10:37:35 2009)
    XXX.XXX.XX.XX (Lun Ago 03 11:22:19 2009)
    XXX.XXX.XX.XX (Lun Ago 03 11:22:30 2009)
    XXX.XXX.XX.XX (Lun Ago 03 11:22:42 2009)
    XXX.XXX.XX.XX (Lun Ago 03 11:22:53 2009)
    XXX.XXX.XX.XX (Lun Ago 03 11:23:13 2009)
    XXX.XXX.XX.XX (Lun Ago 03 12:21:31 2009)
    XXX.XXX.XX.XX (Lun Ago 03 12:21:41 2009)
    XXX.XXX.XX.XX (Lun Ago 03 12:21:54 2009)
    XXX.XXX.XX.XX (Lun Ago 03 12:22:07 2009)
    XXX.XXX.XX.XX (Lun Ago 03 13:56:36 2009)
    XXX.XXX.XX.XX (Lun Ago 03 13:56:51 2009)
    XXX.XXX.XX.XX (Lun Ago 03 13:57:03 2009)
    XXX.XXX.XX.XX (Lun Ago 03 13:57:16 2009)

Plantillas de fecha encontradas:
0 coincidencia(s): Mes Día Hora:Minuto:Segundo
0 coincidencia(s): Día de la semana Mes Día Hora:Minuto:Segundo Año
0 coincidencia(s): Día de la semana Mes Día Hora:Minuto:Segundo
0 coincidencia(s): Año/Mes/Día Hora:Minuto:Segundo
0 coincidencia(s): Día/Mes/Año:Hora:Minuto:Segundo
38 coincidencia(s): Mes/Día/Año Hora:Minuto:Segundo
0 coincidencia(s): Año-Mes-Día Hora:Minuto:Segundo
0 coincidencia(s): Día-Mes-Año Hora:Minuto:Segundo[.Milisegundo]
0 coincidencia(s): TAI64N
0 coincidencia(s): Época

Éxito, el número total de coincidencias es 14

Sin embargo, observe la sección anterior 'Ejecutando pruebas' que podría contener información importante.

La salida de fail2ban-regex anterior verifica que fail2ban está atrapando condiciones de error.

7. Verificar la cadena extra de iptables

Iptables creará una cadena de entrada extra para SquirrelMail:

service iptables status

Cerca de la parte superior de la salida verá:

3    fail2ban-SquirrelMail  tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80

En la parte inferior de la salida verá:

Chain fail2ban-SquirrelMail (1 referencias)
num  target     prot opt source               destination         
1    RETURN     all  --  0.0.0.0/0            0.0.0.0/0

Si todas las pruebas anteriores han sido superadas, puede implementar fail2ban para SquirrelMail.

Configurando fail2ban con SquirrelMail en CentOS 5.3/ISPConfig 3 - Página 2

4. Reiniciando fail2ban

5. Probando el registro de direcciones de origen correctas

6. Probando inicios de sesión no autorizados

7. Verificar la cadena extra de iptables

Recibe nuevas publicaciones en tu bandeja de entrada.