O conceito de "active response" (ou resposta ativa) refere-se a medidas automáticas que um sistema pode tomar em resposta a eventos de segurança. Em ambientes Linux, isso pode ser implementado usando ferramentas como o Fail2Ban, que monitora logs para detectar atividades suspeitas e aplica regras de firewall para bloquear endereços IP maliciosos. Vamos explorar como configurar o Fail2Ban para criar uma resposta ativa em um sistema Linux.

Exemplos:

1. Instalação do Fail2Ban:

   Primeiro, você precisa instalar o Fail2Ban. Em distribuições baseadas em Debian, como o Ubuntu, você pode usar o seguinte comando:

   sudo apt-get update
   sudo apt-get install fail2ban

2. Configuração Básica:

   Após a instalação, você precisa configurar o Fail2Ban. O arquivo de configuração principal é /etc/fail2ban/jail.conf. No entanto, é recomendado criar um arquivo local para personalizações, como /etc/fail2ban/jail.local.

   Exemplo de configuração para proteger o SSH:

   [sshd]
   enabled = true
   port = ssh
   filter = sshd
   logpath = /var/log/auth.log
   maxretry = 5

   Neste exemplo, o Fail2Ban monitora o arquivo de log /var/log/auth.log e bloqueia endereços IP que falharem na autenticação SSH mais de 5 vezes.

3. Iniciar e Habilitar o Fail2Ban:

   Após configurar, inicie o serviço Fail2Ban e habilite-o para iniciar automaticamente no boot:

   sudo systemctl start fail2ban
   sudo systemctl enable fail2ban

4. Verificar o Status:

   Para verificar o status do Fail2Ban e ver quais jails estão ativas, use:

   sudo fail2ban-client status

   Para ver detalhes de uma jail específica, como sshd, use:

   sudo fail2ban-client status sshd

5. Adicionar Regras Personalizadas:

   Você pode criar filtros personalizados para outras aplicações. Crie um arquivo de filtro em /etc/fail2ban/filter.d/ e defina os padrões regex para detectar falhas de segurança específicas.

   Exemplo de um filtro personalizado:

   [Definition]
   failregex = ^<HOST> .* "GET /wp-login.php

   Este filtro detecta tentativas de acesso ao arquivo wp-login.php, que podem indicar tentativas de força bruta em sites WordPress.