stintel/vallumdIPset 블랙리스트 중앙화 또는 분산화
이 프로그램은 IP 블랙리스트를 중앙화하고 배포할 수 있도록 해줍니다.
인터넷에서 서버를 운영하다 보면 하나 이상의 무차별 대입 공격을 겪었을 가능성이 높습니다. 문제없습니다. 그냥 fail2ban을 설치하면 됩니다. 끝.
하지만 여러 대의 서버를 운영하고 있고 각 서버가 자신의 fail2ban 인스턴스를 실행 중이라면, 각각의 차단 목록에 서로 다른 IP 주소가 있을 것입니다. 모든 fail2ban 인스턴스에서 공유되는 차단 목록이 있다면 좋지 않을까요? 또는 모든 머신이 자신이 제어하는 라우터나 방화벽 뒤에 있다면, 네트워크 경계에서 악성 트래픽을 차단하는 것이 좋지 않을까요?
바로 이것이 vallumd가 달성하는 데 도움을 주는 것입니다.
Vallumd는 MQTT 브로커에 연결하여 IP 주소가 포함된 메시지를 읽고, 해당 IP 주소를 ipset에 추가하거나 삭제합니다. 간단합니다.
즉, 단독으로는 유용하지 않지만, vallumd를 매우 유연하게 만듭니다. ipset을 참조할 iptables 규칙의 종류를 직접 결정할 수 있습니다. fail2ban과 통합하는 것은 mosquitto_pub를 사용하여 MQTT 브로커에 메시지를 보내는 새로운 액션을 생성하는 것만큼 간단합니다. 그리고 대부분의 주요 언어에 대한 MQTT 라이브러리가 있으므로, 즐겨 사용하는 IDS, IPS 또는 Honeypot과 통합하는 것도 어렵지 않을 것입니다.
vallumd라는 이름은 라틴어 "vallum"에서 유래했으며, 이는 벽을 의미합니다. 그리고 이것이 바로 vallumd가 하는 일입니다: 디지털 제국을 보호하는 벽을 구축하는 것입니다.
모든 패키지를 설치하는 가장 좋은 방법은 배포판의 패키지 관리자를 사용하는 것입니다. 그러나 이 프로젝트는 아직 초기 단계이므로 많은 배포판에 포함되지 않았습니다.
git의 master 브랜치를 추적하는 패키지가 AUR에서 제공됩니다.
EPEL 리포지토리가 활성화되어 있는지 확인하세요.
sudo yum -y install cmake3 ipset-devel mosquitto-devel openssl-devel pkgconfig '@Development Tools'
이제 cpack으로 RPM 패키지를 생성할 수 있습니다:
git clone https://codeberg.org/stintel/vallumd.git
cd vallumd
cmake3 .
cpack3 -G RPM
sudo yum -y localinstall build/*.rpm
CentOS 7에서 빌드 테스트 완료.
cpack으로 DEB 패키지를 생성할 수 있습니다:
sudo apt-get -y install build-essential cmake file libipset-dev libmosquitto-dev libssl-dev pkg-config
git clone https://codeberg.org/stintel/vallumd.git
cd vallumd
cmake .
cpack -G DEB
sudo dpkg -i build/*.deb
Debian 10, 11, 12, 13 및 Ubuntu 18.04, 20.04, 22.04, 24.04에서 빌드 테스트 완료.
내 Gentoo overlay에서 vallumd의 라이브 ebuild를 찾을 수 있습니다.
OpenWrt DD 스냅샷 또는 LEDE를 사용 중인 경우, vallumd가 패키지 피드에서 제공되며 opkg로 설치할 수 있습니다:
opkg update
opkg install vallumd
수동 설치는 매우 쉽습니다. 필수 사항:
지침:
git clone https://codeberg.org/stintel/vallumd.git
cd vallumd
cmake .
make
make install
vallumd를 사용하려면 Mosquitto와 같은 MQTT 브로커가 필요합니다. 설정에 따라 vallumd를 실행하는 동일한 호스트에서 실행할 수도 있지만, 필수는 아닙니다.
다음으로 필요한 것은 IPset입니다. IPset의 유형과 옵션을 완전히 제어할 수 있도록 vallumd는 자체적으로 IPset을 생성하지 않습니다. 다음 IPset 유형 중에서 선택할 수 있습니다:
IPset 생성 예:
ipset create blacklist hash:ip timeout 3600
이제 vallumd를 시작할 수 있습니다. 다음과 같은 명령줄 옵션이 있습니다:
-h: 연결할 MQTT 호스트
-p: 연결할 MQTT 포트 (1883)
-u: MQTT 사용자 이름
-P: MQTT 비밀번호
-t: MQTT 주제 및 IPset 이름
-V: 버전 번호 출력 후 종료
-c: CA 파일 경로
-T: TLS 사용
호스트와 주제 옵션은 필수이며, 나머지는 선택 사항입니다(기본값). 여러 개의 주제를 지정할 수 있습니다.
vallumd 시작:
vallumd -h 192.168.0.1 -t blacklist
이렇게 하면 192.168.0.1의 MQTT 브로커에서 blacklist 주제의 메시지를 수신 대기하며, 메시지가 수신되면 해당 메시지의 IP 주소가 blacklist라는 IPset에 추가되거나 제거됩니다.
이제 블랙리스트에 IP를 추가할 준비가 모두 갖춰졌습니다. IDS, IPS 또는 Honeypot이 악성 IP 주소를 MQTT 브로커로 보내도록 구성하기만 하면 됩니다.
fail2ban의 경우, Mosquitto 클라이언트 mosquitto_pub로 수행할 수 있습니다. /etc/fail2ban/action.d/vallumd.conf에 새 액션을 생성하세요:
[Definition]
actionban = mosquitto_pub -h 192.168.0.1 -q 2 -t blacklist/add -m <ip>
actionunban = mosquitto_pub -h 192.168.0.1 -q 2 -t blacklist/del -m <ip>
그리고 fail2ban jail이 vallumd 액션을 사용하도록 설정하세요.
CPack으로 생성된 패키지는 OpenRC, Upstart 및 systemd를 지원합니다. 서비스 구성 파일은 배포판에서 예상되는 위치에 있습니다:
배포판에 해당하는 파일을 편집한 후, 시스템에서 다른 서비스를 시작하는 것과 동일한 방식으로 vallumd 서비스를 시작하세요.
Vallumd는 syslog(3)를 로깅에 사용합니다.