Se protéger du bruteforce SSH avec Fail2ban
Mettez un serveur en ligne, et dans l'heure, des robots essaieront déjà de deviner votre mot de passe SSH. C'est constant et automatisé. La bonne nouvelle : un outil simple, Fail2ban, s'en occupe pour vous.
Le problème : le bruteforce permanent
Des milliers de bots scannent internet en continu et tentent des combinaisons identifiant plus mot de passe sur le port SSH. Même sans succès, ça pollue vos logs et, si votre mot de passe est faible, le risque est réel.
Ce que fait Fail2ban
Fail2ban surveille vos journaux de connexion. Quand une adresse IP échoue trop de fois en peu de temps, il la bannit automatiquement au niveau du pare-feu pendant une durée définie. L'attaquant se retrouve bloqué sans que vous ayez à lever le petit doigt.
Les réglages à connaître
- maxretry : le nombre d'échecs tolérés avant bannissement.
- bantime : la durée du bannissement (on peut la rendre progressive).
- findtime : la fenêtre de temps sur laquelle on compte les échecs.
Encore mieux : les clés SSH
Fail2ban est un excellent filet, mais la vraie parade contre le bruteforce, c'est de désactiver l'authentification par mot de passe au profit des clés SSH. Combinés, les deux rendent votre accès quasi inattaquable.
Pour aller plus loin, lisez notre guide sur les bonnes pratiques SSH.