fail2ban-log4j

fail2ban-Filter, der Angriffe gegen log4j CVE-2021-44228 erkennt

Installation

Kopieren Sie diese Datei in Ihr fail2ban filter.d-Verzeichnis, das normalerweise etwa so aussieht: /etc/fail2ban/filter.d oder ähnlich.

Fügen Sie einen apache-jndi-Abschnitt zu Ihrer jail.local oder jail.conf hinzu:

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/log/apache2/access.log
bantime = 86400
maxretry = 1

Falls Sie mehrere Websites überwachen müssen, können Platzhalter hilfreich sein:

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/www/*/logs/access.log
bantime = 86400
maxretry = 1

Logpath für LAMP-Server, die von ispConfig verwaltet werden:

logpath = /var/www/clients/client*/web*/log/access.log

Dies sind Beispiele unter der Annahme, dass

• ein einzelner Versuch ausreicht, um zu erkennen, dass es sich um einen Bösewicht handelt
• Sie nur weiteren http(s)-Verkehr blockieren möchten. Natürlich können Sie auch andere Ports blockieren.

Wirksamkeit

Derzeit erfasst dieser Regex jndi:ldap-Anfragen, die "jndi:ldap" enthalten, sowie eine verschleierte Version mit "lower". Ich werde weitere hinzufügen, sobald ich sie finde, aber Sie können gerne Vorschläge einreichen.