📋 1단계: 로그 파일 모니터링

Fail2Ban은 설정된 로그 파일들을 실시간으로 감시해. SSH 로그인 시도를 기록하는 /var/log/auth.log, 웹 서버 접근 기록인 /var/log/apache2/access.log 같은 파일들을 계속 읽으면서 새로운 내용이 추가되는지 확인하지.

🎯 2단계: 패턴 매칭

로그에서 특정 패턴을 찾아내는 거야. 예를 들어 "Failed password for"라는 문구가 나타나면 "아, 누군가 로그인에 실패했구나"라고 인식하는 거지. 이런 패턴들은 정규표현식(Regular Expression)으로 정의되어 있어서 매우 정확하게 탐지할 수 있어. 🎪

⚡ 3단계: 자동 차단 조치

설정된 임계값(예: 5번 실패)을 초과하면 즉시 방화벽 규칙을 추가해서 해당 IP를 차단해. iptables나 firewalld 같은 방화벽 도구를 사용해서 말이야. 그리고 일정 시간(예: 10분)이 지나면 자동으로 차단을 해제하기도 해. 🔒

[DEFAULT] 섹션

모든 jail(감옥, 차단 규칙)에 공통으로 적용되는 기본 설정이야. 여기서 설정한 값들은 개별 jail에서 재정의하지 않는 한 모두 적용돼.

[DEFAULT]
# 차단 시간 (초 단위, 600초 = 10분)
bantime = 600

# 실패 횟수를 카운트할 시간 범위 (초 단위)
findtime = 600

# 차단을 발동시킬 최대 실패 횟수
maxretry = 5

# 차단 대상에서 제외할 IP (자신의 IP를 꼭 추가하자!)
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24

이 설정의 의미는 이래: "10분 동안 5번 실패하면 10분간 차단한다"는 거야. 간단하지? 😄

🔍 필터 파일 들여다보기

궁금하지 않아? Fail2Ban이 어떤 패턴으로 실패한 로그인을 감지하는지 말이야. 필터 파일을 한번 살펴보자:

sudo cat /etc/fail2ban/filter.d/sshd.conf

이 파일 안에는 정규표현식으로 작성된 패턴들이 있어. 예를 들면:

failregex = ^%(__prefix_line)s(?:error: PAM: )?[aA]uthentication (?:failure|error|failed) for .* from <HOST>( via \S+)?\s*$
            ^%(__prefix_line)s(?:error: PAM: )?User not known to the underlying authentication module for .* from <HOST>\s*$
            ^%(__prefix_line)sFailed (?:password|publickey) for .* from <HOST>(?: port \d*)?(?: ssh\d*)?$

복잡해 보이지? 하지만 이 패턴들이 로그에서 실패한 로그인 시도를 정확하게 찾아내는 거야. <HOST> 부분이 공격자의 IP 주소를 추출하는 부분이고! 🎯

🔴 Apache 보호 설정

[apache-auth]
enabled = true
port = http,https
filter = apache-auth
logpath = /var/log/apache2/error.log
maxretry = 3
bantime = 3600

[apache-badbots]
enabled = true
port = http,https
filter = apache-badbots
logpath = /var/log/apache2/access.log
maxretry = 2
bantime = 86400

[apache-noscript]
enabled = true
port = http,https
filter = apache-noscript
logpath = /var/log/apache2/error.log
maxretry = 3
bantime = 3600

[apache-overflows]
enabled = true
port = http,https
filter = apache-overflows
logpath = /var/log/apache2/error.log
maxretry = 2
bantime = 3600

각 jail이 보호하는 내용을 설명하면:

• apache-auth: HTTP 인증 실패 감지 (관리자 페이지 로그인 실패 등)
• apache-badbots: 악성 봇이나 스크래퍼 차단
• apache-noscript: 존재하지 않는 스크립트 파일 요청 차단 (해킹 시도)
• apache-overflows: 버퍼 오버플로우 공격 시도 차단

🟢 Nginx 보호 설정

[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log
maxretry = 3
bantime = 3600

[nginx-limit-req]
enabled = true
port = http,https
filter = nginx-limit-req
logpath = /var/log/nginx/error.log
maxretry = 10
findtime = 60
bantime = 3600

[nginx-botsearch]
enabled = true
port = http,https
filter = nginx-botsearch
logpath = /var/log/nginx/access.log
maxretry = 2
bantime = 86400

Nginx도 비슷한 방식으로 보호할 수 있어. nginx-limit-req는 특히 중요한데, Nginx의 rate limiting 기능과 연동해서 과도한 요청을 보내는 IP를 차단하거든. 👊

📝 커스텀 필터 작성 예제

가상의 웹 애플리케이션이 로그인 실패 시 다음과 같은 로그를 남긴다고 가정해보자:

2024-01-15 14:23:45 [ERROR] Login failed for user 'admin' from IP 192.168.1.100
2024-01-15 14:23:50 [ERROR] Login failed for user 'root' from IP 192.168.1.100

이런 로그를 감지하는 필터를 만들어보자. /etc/fail2ban/filter.d/myapp-auth.conf 파일을 생성해:

[Definition]
# 실패 패턴 정의
failregex = ^\s*\[ERROR\]\s+Login failed for user .* from IP <HOST>\s*$

# 무시할 패턴 (선택사항)
ignoreregex =

# 날짜 패턴 (선택사항, 기본값 사용 가능)
datepattern = ^%%Y-%%m-%%d %%H:%%M:%%S

정규표현식 설명:

• ^\s*: 줄 시작, 공백 허용
• \[ERROR\]: [ERROR] 문자열 (대괄호는 이스케이프 필요)
• \s+: 하나 이상의 공백
• Login failed for user .*: 고정 문자열과 임의의 사용자명
• from IP <HOST>: IP 주소 추출 (Fail2Ban이 자동으로 처리)
• \s*$: 줄 끝, 공백 허용

🧪 필터 테스트하기

필터를 작성했다면 반드시 테스트해야 해! Fail2Ban은 fail2ban-regex라는 훌륭한 테스트 도구를 제공해:

fail2ban-regex /var/log/myapp/auth.log /etc/fail2ban/filter.d/myapp-auth.conf

이 명령어는 실제 로그 파일과 필터를 비교해서 매칭되는 라인을 보여줘. 결과가 이렇게 나오면 성공이야:

Running tests
=============

Use   failregex filter file : myapp-auth, basedir: /etc/fail2ban
Use         log file : /var/log/myapp/auth.log
Use         encoding : UTF-8

Results
=======

Failregex: 15 total
|-  #) [# of hits] regular expression
|   1) [15] ^\s*\[ERROR\]\s+Login failed for user .* from IP <HOST>\s*$
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [15] {^LN-BEG}%%Y-%%m-%%d %%H:%%M:%%S
`-

Lines: 15 lines, 0 ignored, 15 matched, 0 missed

15 matched, 0 missed라고 나오면 완벽하게 작동하는 거야! 🎉

⏰ 점진적 차단 시간 (Progressive Ban Time)

같은 IP가 반복적으로 공격을 시도한다면? 차단 시간을 점점 늘려가는 게 효과적이야. 이걸 구현하는 방법:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3

# 첫 번째 차단: 10분
bantime = 600

# 재범 시 차단 시간 증가
bantime.increment = true
bantime.factor = 2
bantime.maxtime = 604800  # 최대 1주일

이렇게 설정하면:

• 1차 위반: 10분 차단
• 2차 위반: 20분 차단 (10분 × 2)
• 3차 위반: 40분 차단 (20분 × 2)
• 4차 위반: 80분 차단...
• 최대 1주일까지 증가

끈질긴 공격자에게 확실한 메시지를 전달할 수 있어! 😤

🌍 지역 기반 차단 (GeoIP Blocking)

특정 국가에서만 서비스를 제공한다면, 다른 국가의 IP를 아예 차단하는 것도 방법이야. 이를 위해 GeoIP 데이터베이스를 활용할 수 있어:

sudo apt install geoip-bin geoip-database

그리고 커스텀 액션 스크립트를 작성해서 특정 국가의 IP만 차단하도록 설정할 수 있어. 예를 들어 중국과 러시아에서의 접근을 차단하려면:

[sshd]
enabled = true
filter = sshd
action = iptables-multiport[name=SSH, port="ssh", protocol=tcp]
         geoip-action[countries="CN RU"]
logpath = /var/log/auth.log

물론 이건 조금 극단적인 방법이고, 정당한 사용자까지 차단할 수 있으니 신중하게 사용해야 해! ⚠️

🔄 화이트리스트와 블랙리스트 관리

특정 IP는 절대 차단하지 않아야 하거나(화이트리스트), 영구적으로 차단해야 한다면(블랙리스트) 다음과 같이 설정해:

[DEFAULT]
# 화이트리스트 (절대 차단하지 않을 IP)
ignoreip = 127.0.0.1/8 ::1
           192.168.1.0/24
           203.0.113.50
           
# 영구 차단 (블랙리스트)
# 별도 jail 생성
[blacklist]
enabled = true
filter = blacklist
action = iptables-allports[name=BLACKLIST]
logpath = /var/log/fail2ban-blacklist.log
maxretry = 1
findtime = 31536000  # 1년
bantime = -1  # 영구 차단

블랙리스트에 IP를 추가하려면 로그 파일에 직접 작성하면 돼:

echo "$(date) Blacklist 1.2.3.4" | sudo tee -a /var/log/fail2ban-blacklist.log

🔍 기본 상태 확인 명령어

# Fail2Ban 서비스 상태 확인
sudo systemctl status fail2ban

# 활성화된 jail 목록 보기
sudo fail2ban-client status

# 특정 jail의 상세 정보 보기
sudo fail2ban-client status sshd

# 현재 차단된 IP 목록 보기
sudo fail2ban-client get sshd banned

fail2ban-client status sshd 명령어를 실행하면 이런 결과가 나와:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed:     127
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 5
   |- Total banned:     42
   `- Banned IP list:   192.168.1.100 203.0.113.25 198.51.100.50 ...

이 정보를 보면 얼마나 많은 공격 시도가 있었는지, 현재 몇 개의 IP가 차단되어 있는지 한눈에 알 수 있어! 👀

🔓 수동으로 IP 차단 해제하기

실수로 정당한 사용자를 차단했거나, 테스트 목적으로 차단을 해제하고 싶다면:

# 특정 IP 차단 해제
sudo fail2ban-client set sshd unbanip 192.168.1.100

# 모든 차단 해제 (주의!)
sudo fail2ban-client unban --all

급한 상황에서 정말 유용한 명령어야! 🚑

📋 로그 파일 분석

Fail2Ban 자체의 로그를 확인하면 더 자세한 정보를 얻을 수 있어:

# Fail2Ban 로그 실시간 모니터링
sudo tail -f /var/log/fail2ban.log

# 최근 차단 기록만 보기
sudo grep "Ban" /var/log/fail2ban.log | tail -20

# 특정 IP의 차단 이력 검색
sudo grep "192.168.1.100" /var/log/fail2ban.log

로그를 보면 이런 내용들이 기록되어 있어:

2024-01-15 14:25:32,123 fail2ban.actions [12345]: NOTICE  [sshd] Ban 192.168.1.100
2024-01-15 14:35:32,456 fail2ban.actions [12345]: NOTICE  [sshd] Unban 192.168.1.100
2024-01-15 15:10:15,789 fail2ban.filter  [12345]: INFO    [apache-auth] Found 203.0.113.25

⏱️ 폴링 간격 조정

Fail2Ban이 로그 파일을 확인하는 주기를 조정할 수 있어:

[DEFAULT]
# 로그 파일 폴링 간격 (초 단위, 기본값 1초)
# 트래픽이 많지 않다면 5초로 늘려도 충분해
logtarget = /var/log/fail2ban.log
loglevel = INFO
dbfile = /var/lib/fail2ban/fail2ban.sqlite3
dbpurgeage = 86400  # 1일 지난 데이터 정리

데이터베이스를 주기적으로 정리하면 성능이 향상돼! 🧹

🎯 정규표현식 최적화

복잡한 정규표현식은 CPU를 많이 사용해. 가능한 한 단순하고 명확하게 작성하는 게 좋아:

# 비효율적인 예
failregex = .*Failed.*password.*for.*from.*<HOST>.*

# 효율적인 예
failregex = ^Failed password for .* from <HOST>

앞부분에 ^(줄 시작)을 붙이면 매칭 속도가 훨씬 빨라져! 작은 차이 같지만 로그가 많을 때는 큰 차이를 만들어. ⚡

📦 불필요한 jail 비활성화

사용하지 않는 서비스의 jail은 과감하게 비활성화하자:

# 사용하지 않는 서비스는 enabled = false로 설정
[proftpd]
enabled = false

[postfix]
enabled = false

[dovecot]
enabled = false

필요한 것만 활성화하면 리소스를 절약할 수 있어! 💰

1️⃣ SSH 키 기반 인증 사용

비밀번호 대신 SSH 키를 사용하면 무작위 대입 공격이 거의 무의미해져:

# 로컬에서 SSH 키 생성
ssh-keygen -t ed25519 -C "your-email@example.com"

# 공개 키를 서버에 복사
ssh-copy-id user@server-ip

# 서버에서 비밀번호 인증 비활성화
sudo nano /etc/ssh/sshd_config
# PasswordAuthentication no 로 변경
sudo systemctl restart sshd

이렇게 하면 Fail2Ban은 백업 방어선이 되는 거야! 🔑

2️⃣ 방화벽 기본 정책 설정

필요한 포트만 열고 나머지는 모두 차단하는 화이트리스트 방식을 사용해:

# UFW 사용 예제
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

Fail2Ban과 방화벽의 조합은 정말 강력해! 💪

3️⃣ 정기적인 업데이트

시스템과 Fail2Ban을 항상 최신 버전으로 유지해:

# Ubuntu/Debian
sudo apt update && sudo apt upgrade

# CentOS/RHEL
sudo yum update

보안 패치는 미루지 말고 바로바로 적용하는 게 중요해! ⏰

4️⃣ 로그 모니터링 자동화

Fail2Ban 로그를 정기적으로 분석하는 스크립트를 만들어보자:

#!/bin/bash
# /usr/local/bin/fail2ban-report.sh

echo "=== Fail2Ban Daily Report ==="
echo "Date: $(date)"
echo ""

for jail in $(fail2ban-client status | grep "Jail list" | sed "s/.*://g" | sed "s/,//g"); do
    echo "--- $jail ---"
    fail2ban-client status $jail | grep "Currently banned\|Total banned"
    echo ""
done

이 스크립트를 cron으로 매일 실행하면 보안 상황을 한눈에 파악할 수 있어! 📊

📱 사례 1: WordPress 사이트 보호

WordPress는 전 세계에서 가장 많이 사용되는 CMS라서 공격 대상 1순위야. wp-login.php에 대한 무작위 대입 공격이 정말 많거든!

WordPress 전용 필터를 만들어보자:

# /etc/fail2ban/filter.d/wordpress-auth.conf
[Definition]
failregex = ^<HOST> .* "POST /wp-login.php
            ^<HOST> .* "POST /xmlrpc.php

ignoreregex =

그리고 jail 설정:

[wordpress-auth]
enabled = true
port = http,https
filter = wordpress-auth
logpath = /var/log/apache2/access.log
maxretry = 3
bantime = 3600
findtime = 600

이렇게 하면 wp-login.php나 xmlrpc.php에 반복적으로 접근하는 IP를 차단할 수 있어! 🎯

🗄️ 사례 2: 데이터베이스 서버 보호

MySQL이나 PostgreSQL 서버도 보호해야 해. 특히 외부에서 접근 가능하게 설정했다면 더더욱!

# MySQL 보호
[mysqld-auth]
enabled = true
port = 3306
filter = mysqld-auth
logpath = /var/log/mysql/error.log
maxretry = 3
bantime = 7200

# PostgreSQL 보호
[postgresql]
enabled = true
port = 5432
filter = postgresql
logpath = /var/log/postgresql/postgresql-*-main.log
maxretry = 3
bantime = 7200

데이터베이스는 정말 중요한 자산이니까 더 엄격하게 보호하는 게 좋아! 🗄️

📧 사례 3: 메일 서버 보호

메일 서버는 스팸 발송 시도나 계정 탈취 시도가 많아. Postfix와 Dovecot을 보호하는 설정:

[postfix-sasl]
enabled = true
port = smtp,submission,smtps
filter = postfix-sasl
logpath = /var/log/mail.log
maxretry = 3
bantime = 3600

[dovecot]
enabled = true
port = pop3,pop3s,imap,imaps,submission,submissions
filter = dovecot
logpath = /var/log/mail.log
maxretry = 3
bantime = 3600

메일 서버가 스팸 발송 봇넷에 악용되는 걸 막을 수 있어! 📬

🚀 Happy Securing! 🚀

안전한 서버 운영을 응원합니다!

Remember: Security is not a product, but a process! 🔐