CrowdSec: баны, белый список и AppSec WAF

CrowdSec это движок защиты от атак. Он читает события на сервере, банит атакующих и, если включён AppSec WAF, проверяет HTTP-запросы до того, как они дойдут до сайта. Работает только на Ubuntu 24.04 LTS и доступен на тарифе Pro и выше.

Пакет CrowdSec ставится на странице Инфраструктура → Пакеты. Пока пакет не установлен, страница показывает кнопку Открыть пакеты.

Fail2Ban и CrowdSec не работают вместе

Одновременно может работать только один движок, иначе баны дублируются. Кнопка Переключиться на CrowdSec останавливает Fail2Ban и включает CrowdSec. Обратно можно переключиться в любой момент, см. статью про Fail2Ban.

Состояние и службы

Блок Движок безопасности CrowdSec показывает службу с кнопками Запустить, Перезапустить и Остановить, а также время Последняя синхронизация. Рядом видно, включены ли AppSec WAF, HTTP-детект и бансеры: Nginx-баунсер и Firewall-бансер. Статус обновляется каждые 15 минут.

Баны и разбан

В блоке Активные решения перечислены IP, которые сейчас забанены или проверяются. Для каждого видно источник: Общественный блок-лист, Локальная детекция или Вручную, и срок Истекает через. Кнопка Разбанить снимает все решения по адресу.

Чтобы забанить адрес вручную, укажите IP-адрес, срок, Причина и нажмите Забанить IP. Срок можно выбрать от 30 минут до 30 дней.

Белый список

Адреса из белого списка не банятся никогда. Адреса воркеров Deploykin добавляются автоматически. Добавьте сюда свой IP, чтобы не потерять доступ к серверу.

Настройки защиты

• Включить AppSec WAF проверяет запросы на известные уязвимости и типовые атаки, например SQL-инъекции и XSS.
• При сбое WAF выбирает поведение, если компонент недоступен: passthrough пропускает трафик и рекомендуется, deny блокирует всё.
• Длительность бана по умолчанию задаёт срок для атакующих, найденных локально.
• Firewall-бансер применяет баны на всех портах, включая SSH, через iptables. Перед включением добавьте свой IP в белый список.
• Применять решения в nginx выключает блокировку на веб-сервере, при этом обнаружение продолжает работать.

Настройки сохраняются кнопкой Сохранить настройки.

Если что-то не работает

• «Блоклист сообщества недоступен»: сервер не может связаться с сервисом блоклистов. Локальное обнаружение и WAF работают как обычно.
• «Nginx-баунсер не установлен»: баунсер ставится автоматически, когда на сервере есть nginx. Без него атаки обнаруживаются, но на веб-сервере не блокируются.