Software para detectar problemas de seguridad en logs para NGINX u otros programas Unix

Veo recomendaciones en línea que busco en los registros en /var/logbusca de ataques a mi servidor web o problemas de seguridad con el sistema (Ubuntu Linux) en general, pero sería útil si tuviera algo que pudiera buscarme y enviarme un correo electrónico sobre cualquier cosa sospechosa.

He visto algunas páginas sobre software de administración de registros, pero no estoy seguro de qué sería efectivo, especialmente para alguien que no está haciendo esto como negocio. ¿Cuáles son algunos buenos paquetes para mirar? ¿O existe lo que busco?

¿Está buscando una herramienta de monitoreo simple (como Monitorix ), o más bien algo que actúe por sí mismo en patrones definidos (como Fail2ban )? Ambos pueden configurarse para enviar correos en eventos definidos (de hecho, estoy usando ambos pero no su función de correo;)
Fail2banparece la cosa. ¡Gracias! Publícalo como respuesta y lo aceptaré.

Respuestas (1)

Estoy usando una combinación de Monitorix (para evaluación a largo plazo) y Fail2ban en mis máquinas. Ambos pueden enviar alertas por correo electrónico, aunque no estoy usando esa función.

Para tu caso, te recomiendo especialmente Fail2Ban:

  • mirar a través de registros en /var/log: Exactamente lo que hace. Ya viene con un conjunto de reglas que puede ampliar por su cuenta (usando expresiones regulares).
  • envíeme un correo electrónico sobre cualquier cosa sospechosa: no solo eso, puede tomar precauciones inmediatas, por ejemplo, prohibir una "IP de atacante" determinada durante un período de tiempo específico (eso está detrás del nombre: "X inicios de sesión fallidos → Prohibición!").

Es bastante efectivo, y para mí funciona como una especie de " IDS automático ": prohíbe a los piratas informáticos (web, correo, ssh y más), así como a los "leechers", y mucho más. Conoce un montón de software de uso frecuente y sus formatos de registro (por ejemplo, Apache, OpenSSH, ProFTP, varios servidores de correo), por lo que incluso listo para usar obtiene algo útil. Aunque la mayoría de las cosas (excepto SSH) están "deshabilitadas" de manera predeterminada, toma unos minutos elegir las que usa y activarlas.

Una vez que se haya familiarizado un poco con él, incluso puede comenzar a escribir sus propias reglas y hacer que interactúe con otros servicios (por ejemplo, Apache: mod_securitydeje que arroje algún tipo de eventos de "EMERGENCIA" y haga que Fail2Ban actúe sobre ellos). Solo puedo recomendarlo calurosamente.

mod_security tiene muchos falsos positivos y tuve que comentar o modificar muchas de las reglas.
@cybernard Yo también, pero después de haberlo ajustado en consecuencia, hace un gran trabajo. mod_securityse acaba de mencionar como ejemplo aquí: el software recomendado es Fail2Ban :)
Software para detectar problemas de seguridad en logs para NGINX u otros programas Unix
RespuestasAquíPolítica de privacidad1y, 0v