O conceito de "active response" (ou resposta ativa) refere-se a medidas automáticas que um sistema pode tomar em resposta a eventos de segurança. Em ambientes Linux, isso pode ser implementado usando ferramentas como o Fail2Ban, que monitora logs para detectar atividades suspeitas e aplica regras de firewall para bloquear endereços IP maliciosos. Vamos explorar como configurar o Fail2Ban para criar uma resposta ativa em um sistema Linux.

Exemplos:

1. Instalação do Fail2Ban:

Primeiro, você precisa instalar o Fail2Ban. Em distribuições baseadas em Debian, como o Ubuntu, você pode usar o seguinte comando:

   sudo apt-get update

   sudo apt-get install fail2ban

2. Configuração Básica:

Após a instalação, você precisa configurar o Fail2Ban. O arquivo de configuração principal é /etc/fail2ban/jail.conf. No entanto, é recomendado criar um arquivo local para personalizações, como /etc/fail2ban/jail.local.

Exemplo de configuração para proteger o SSH:

   [sshd]

   enabled = true

   port = ssh

   filter = sshd

   logpath = /var/log/auth.log

   maxretry = 5

Neste exemplo, o Fail2Ban monitora o arquivo de log /var/log/auth.log e bloqueia endereços IP que falharem na autenticação SSH mais de 5 vezes.

3. Iniciar e Habilitar o Fail2Ban:

Após configurar, inicie o serviço Fail2Ban e habilite-o para iniciar automaticamente no boot:

   sudo systemctl start fail2ban

   sudo systemctl enable fail2ban

4. Verificar o Status:

Para verificar o status do Fail2Ban e ver quais jails estão ativas, use:

   sudo fail2ban-client status

Para ver detalhes de uma jail específica, como sshd, use:

   sudo fail2ban-client status sshd

5. Adicionar Regras Personalizadas:

Você pode criar filtros personalizados para outras aplicações. Crie um arquivo de filtro em /etc/fail2ban/filter.d/ e defina os padrões regex para detectar falhas de segurança específicas.

Exemplo de um filtro personalizado:

   [Definition]

   failregex = ^<HOST> .* "GET /wp-login.php

Este filtro detecta tentativas de acesso ao arquivo wp-login.php, que podem indicar tentativas de força bruta em sites WordPress.