Stan Bezpieczeństwa

Serwer na bieżąco obserwuje własne dzienniki zdarzeń: strony WWW, logowanie przez SSH, pocztę, FTP i panele zarządzania. Program fail2ban szuka w nich zachowań typowych dla ataków, np. wielokrotnych prób odgadnięcia hasła, setek zapytań o nieistniejące strony, skanowania podatności czy prób włamania do paneli CMS.

Każdy rodzaj zagrożenia ma osobny filtr (poniżej: jedna sekcja = jeden filtr). Gdy jeden adres IP przekroczy w krótkim czasie dozwoloną liczbę podejrzanych zdarzeń, fail2ban dodaje regułę w zaporze sieciowej i adres jest blokowany: serwer przestaje odpowiadać na jego zapytania. Blokada jest czasowa i po jej upływie adres zostaje odblokowany, a powtarzający się napastnicy mogą trafić na listę blokad stałych.

Skąd adresy „GOOGLE" i „BING"? Plakietka oznacza tylko dostawcę, do którego należy adres IP. W praktyce są to w większości maszyny wirtualne wynajmowane w chmurze (Google Cloud, Microsoft Azure) przez dowolnych klientów, a nie roboty wyszukiwarek. Takie maszyny są tanie i łatwo dostępne, dlatego często służą do automatycznego skanowania sieci i prób ataków, i to one robią największy bałagan w ruchu na serwerze.

dostawca chmurowy (Google / Microsoft)   zablokowany w ciągu ostatniej godziny   starsza blokada. Adresy są częściowo ukryte (np. 185.12.*.*) ze względów bezpieczeństwa.