Просмотр кода страницы Защита WordPress с помощью Fail2Ban в Ubuntu 14.04

WordPress – это надёжная и производительная система управления контентом (CMS) с открытым исходным кодом. Будучи очень распространённой системой, WordPress часто подвергается атакам злоумышленников, агентов, вредоносных сетевых ботов и спамеров. Утилита Fail2ban позволяет предотвратить несанкционированный  доступ как к сайту WordPress, так и к серверу в целом. Она отслеживает подозрительные или повторяющиеся неудачные попытки входа и блокирует эти IP-адреса, меняя текущие правила брандмауэра сервера.

Данное руководство поможет защитить WordPress при помощи Fail2ban 0.9.3 и плагина spam log на сервере Ubuntu 14.04.

== Требования ==
*Предварительно настроенный сервер Ubuntu 14.04 и WordPress.
*Не-root пользователь с правами sudo. Чтобы настроить такую учётную запись, [http://www.8host.com/blog/nachalnaya-nastrojka-servera-ubuntu-14-04|читайте эту статью].
*Установленная и настроенная утилита Fail2ban.
*Также нужно выполнить руководство [http://www.8host.com/blog/nastrojka-bezopasnyx-obnovlenij-i-ustanovok-dlya-wordpress-v-ubuntu|Настройка безопасных обновлений и установок для WordPress в Ubuntu].
== Установка WordPress плагина Fail2ban ==
Откройте панель управления сайтом в браузере:
<syntaxhighlight lang="html">
https://your_server_ip/wp-admin
</syntaxhighlight>
В левой боковой панели найдите раздел Plugins (или Плагины). Откройте этот раздел, и на экране появится список установленных плагинов.

Выберите опцию Add New, чтобы добавить новые плагины для сайта WordPress. В данном случае нужно найти плагин Fail2ban.

Используйте появившееся поле поиска, чтобы найти нужный плагин. В результате программа вернёт несколько плагинов с похожим названием, среди которых должен быть искомый плагин – WP fail2ban.

Нажмите Install Now, чтобы запустить установку. Во время установки появится две опции: Activate Plugin и Return to Plugin Installer. Выберите Activate Plugin, после чего браузер вернёт список установленных плагинов, в котором появится и WP fail2ban. Чтобы получить более подробную информацию о новом плагине, нажмите View details. Справка также содержит раздел FAQ, что поможет включить некоторые функции (например, блокировку отдельных пользователей, присылающих спам).

== Фильтр Fail2ban ==
Данный плагин содержит фильтр Fail2ban, который нужно установить, чтобы инструмент Fail2ban мог парсить логи авторизации.

Сначала переместите фильтр из каталога плагинов WordPress:
<syntaxhighlight lang="bash">
sudo cp /var/www/html/wp-content/plugins/wp-fail2ban/wordpress.conf /etc/fail2ban/filter.d/
</syntaxhighlight>
Новый фильтр wordpress.conf позволяет настроить Fail2ban для отслеживания определённого лога авторизации. Для этого нужно отредактировать /etc/fail2ban/jail.local. Файлы jail содержат наборы правил и действий, применяемых к IP-адресам, от которых исходят неудачные попытки ввода пароля.

Откройте jail.local в текстовом редакторе:
<syntaxhighlight lang="bash">
sudo nano /etc/fail2ban/jail.local
</syntaxhighlight>
Вставьте следующие строки в конец файла. Они включат плагин, настроят фильтр wordpress.conf, укажут соответствующие логи и разрешат трафик http и https.
<syntaxhighlight lang="bash">
[wordpress]
enabled = true
filter = wordpress
logpath = /var/log/auth.log
port = http,https
</syntaxhighlight>
Сохраните и закройте файл.

Затем нужно перезапустить Fail2ban, чтобы обновить настройки и включить фильтр.

sudo service fail2ban restart

== Директива ignoreip ==
Чтобы случайно не заблокировать себя или других заведомо безопасных пользователей, рекомендуется внести эти внешние IP-адреса в настройки Fail2ban.

Чтобы узнать внешний IP в операционной системе на основе Linux используйте:
<syntaxhighlight lang="bash">
curl ipecho.net/plain ; echo
</syntaxhighlight>
Пользователи других систем должны посетить [http://checkip.dyndns.org|эту ссылку], чтобы определить свой внешний IP-адрес.

Примечание: Если к WordPress имеют доступ другие пользователи, узнайте их внешние IP-адреса и добавьте в настройки.

Откройте jail.local:
<syntaxhighlight lang="bash">
sudo nano /etc/fail2ban/jail.local
</syntaxhighlight>
Директива ignoreip содержит список IP-адресов, которые не нужно блокировать в случае неудачной попытки ввода пароля, начиная с локального IP-адреса (localhost). IP-адреса в этом списке отделяются пробелами. Добавьте сюда и другие заведомо безопасные адреса.

Директиву ignoreip нужно поместить в раздел DEFAULT под ранее добавленным блоком кода.
<syntaxhighlight lang="bash">
ignoreip = 127.0.0.1/8 your_computer_ip
</syntaxhighlight>
Сохраните и закройте файл.

Чтобы убедиться, что ваша успешная авторизация не была отмечена фильтром, используйте:
<syntaxhighlight lang="bash">
sudo fail2ban-client status wordpress
</syntaxhighlight>
Вывод будет примерно такой:
<syntaxhighlight lang="bash">
Status for the jail: wordpress
|- filter
|  |- File list:    /var/log/auth.log
|  |- Currently failed: 0
|  `- Total failed: 0
`- action
|- Currently banned: 0
|  `- IP list:
`- Total banned: 0
</syntaxhighlight>
Сведения об удачной авторизации хранятся в файле auth.log; перейдите в конец этого файла (при помощи tail), чтобы найти данные о своей авторизации:
<syntaxhighlight lang="bash">
sudo tail /var/log/auth.log
</syntaxhighlight>
Вывод выглядит примерно так:
<syntaxhighlight lang="bash">
Month Day Hour:Minute:Second your_server wordpress(your_server_ip)[PID]: Accepted password for admin from your_computer_ip
</syntaxhighlight>
Если в логах появится информация о неавторизованных пользователях или неудачной попытке авторизации, новый плагин заблокирует этому  IP-адресу доступ к сайту, соответствующим образом изменяя правила брандмауэра.

== Ротация логов ==
Если логи сайта WordPress стали слишком объёмными и содержат слишком много данных о неудачных попытках ввода пароля, можно выполнить ротацию лог-файла. Для этого нужно отредактировать /etc/logrotate.conf:
<syntaxhighlight lang="bash">
sudo nano /etc/logrotate.conf
</syntaxhighlight>
Вставьте в файл следующие строки. этот код устанавливает максимальный объём файла, права на лог и срок действия лога (устанавливается в неделях, в данном случае лог действителен в течение 4 недель).
<syntaxhighlight lang="bash">
/var/log/auth.log {
size 30k
create 0600 root root
rotate 4
}
</syntaxhighlight>
Сохраните файл и закройте его.

== Заключение ==
Теперь WordPress надёжно защищён плагином Fail2ban. При этом инструмент Fail2ban не заблокирует ваш IP или IP заведомо безопасных пользователей. Кроме того, логи не будут перегружаться благодаря заведомо настроенной ротации. Теперь сайт WordPress защищён от несанкционированных попыток входа, спама в комментариях и взлома.

[[Category:Linux]] [[Category:Ubuntu]] [[Category:Wordpress]] [[Category:Fail2Ban]] [[Category:Debian]]