✎ domoticz-sj-sicurezza [123Solar / MeterN WIKI]

Questa pagina è in sola lettura. Puoi visualizzare il sorgente, ma non puoi modificarlo. Contatta l'amministratore se pensi che ci sia un errore.

<h1 class="page-header">1.0 Domoticz - sicurezza</h1>
<div class="level1">

<p>
Uno degli aspetti più importanti per un sistema di automazione domestica, nel caso in cui si voglia gestire il proprio sistema anche dall'esterno della propria rete LAN (e quindi tramite internet) è senz'altro il fatto di rendere sicuro il sistema ed evitare possibili accessi indesiderati
</p>

</div>

<h1 class="page-header">2.0 Fail2ban - banning dei tentivi di accesso indesiderati</h1>
<div class="level1">

<p>
<b>FONTI:</b>
</p>
<ul class="fix-media-list-overlap">
<li class="level1"> <a href="https://www.domoticz.com/wiki/Automated_banning_of_IP_that_fails_to_login_multiple_times" class="urlextern" title="https://www.domoticz.com/wiki/Automated_banning_of_IP_that_fails_to_login_multiple_times" rel="nofollow">Domoticz wiki - Fail2ban</a></li>
<li class="level1"> <a href="http://guide.debianizzati.org/index.php/Fail2ban" class="urlextern" title="http://guide.debianizzati.org/index.php/Fail2ban" rel="nofollow"> Fail2ban - debianizzati.org</a></li>
</ul>

<p>
Se si intende aprire l’accesso a Domoticz anche direttamente da internet, è una buona regola adottare dei minimi sistemi per proteggere il nostro sistema domotico da accessi indesiderati.
</p>

<p>
Uno di questi è utilizzare il servizio Fail2ban per bloccare tentativi di accesso indesiderati.
</p>

<p>
Fail2ban è un software che è nato per permettere di bloccare gli host che stanno tentando di effettuare un attacco di brute force via SSH. Questo genere di attacco si basa su continui tentativi di accesso, provando o l'username root con password probabili (come password, root, e così via) oppure tramite coppie di username/password conosciute (create, ad esempio, da malware o da rootkit).
</p>

</div>

<h3>2.1 Installazione</h3>
<div class="level3">

<p>
L'installazione è semplice:
</p>
<pre class="code">sudo apt-get install fail2ban


</pre><p> </p>

</div>

<h3>2.2 Aggiungere il log di Domoticz a Fail2ban</h3>
<div class="level3">

<p>
Innanzitutto andremo a dire a fail2ban dove andare a guardare e che cosa cercare. 
</p>

<p>
Andiamo ad editare il file jail.local (che probabilmente sarà vuoto):
</p>
<pre class="code">sudo nano /etc/fail2ban/jail.local


</pre><p> </p>

<p>
ed aggiungiamo la seguente sezione:
</p>
<pre class="code">[domoticz]

enabled  = true
port     = 8080
filter   = domoticz
logpath  = /var/log/domoticz.log
maxretry = 3
findtime = 3600 


</pre><p> </p>

<p>
Naturalmente dovrete modificare la porta e la posizione del file log secondo le vostre impostazioni, ma se avete seguite le altre mie guide quando indicato è già corretto.
In questo modo fail2ban permetterà solo 3 tentativi di accesso a Domoticz, dopo di che l’ip verrà bloccato e non sarà più permesso l’accesso.
</p>

</div>

<h3>2.3 Aggiungi definizioni di ricerca per Domoticz in fail2ban</h3>
<div class="level3">

<p>
Per fare in modo che fail2ban trovi gli indirizzi IP da bloccare, dobbiamo fornire a fail2ban alcune definizioni di ricerca (regex). 
Andiamo a creare il file domoticz.conf 
</p>
<pre class="code">sudo nano /etc/fail2ban/filter.d/domoticz.conf


</pre><p> </p>

<p>
ed incolliamo quanto segue:
</p>
<pre class="code"># Fail2Ban configuration file for domoticz
#
# Author: Domoticz user 'ThinkPad' & Flane
#
# $Revision$
#

[Definition]

# Option:  failregex
# Notes.:  regex to match the password failures messages in the logfile. The
#          host must be matched by a group named "host". The tag "&lt;HOST&gt;" can
#          be used for standard IP/hostname matching and is only an alias for
#          (?:::f{4,6}:)?(?P&lt;host&gt;[\w\-.^_]+)
# Values:  TEXT
#
failregex = Error: Failed login attempt from &lt;HOST&gt; for user '.*' !
            Error: Failed login attempt from &lt;HOST&gt; for '.*' !
            Error: Webserver: Failed authentication attempt, ignoring client request \(remote addresses: &lt;HOST&gt;\)
            Error: \[web\:.*\] Failed authentication attempt, ignoring client request \(remote address: &lt;HOST&gt;\)

#First line is for 'Login Page' authentication mode of Domoticz
#Second line is for 'Basic-Auth' authentication mode in Domoticz
#
#
#
# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex =


</pre><p> </p>

</div>

<h3>2.4 Aggiunta di un IP a whitelist (Facoltativo)</h3>
<div class="level3">

<p>
Se volete che fail2ban non blocchi i PC presenti all’interno della vostra rete locale LAN, è possibile aggiungere i vostri indirizzi ad una whitelist, in modo che i tentativi di accesso non passino sotto il filtro di fail2ban.
</p>

<p>
Per fare ciò editiamo il file jail.conf:
</p>
<pre class="code">sudo nano /etc/fail2ban/jail.conf


</pre><p> </p>

<p>
Cercate la riga 'ignoreip = 127.0.0.1/8'.
</p>

<p>
Se gli indirizzi della vostra rete locale sono del tipo 192.168.1.x modificate la riga come di seguito:
</p>
<pre class="code">ignoreip = 127.0.0.1/8 192.168.1.0/24


</pre><p> </p>

<p>
Nel caso in cui i vostri indirizzi di rete locale appartengano ad una famiglia diversa (ad esempio 192.168.178.x o altro) modificate quanto sopra di conseguenza.
Potete eventualmente aggiungere anche altri IP (anche esterni) se siete sicuri che siano accessi affidabili (ad esempio se avete un IP statico esterno da cui accedete spesso), lasciando semplicemente uno spazio nella riga modificata precedentemente ed aggiungendo l’ip a cui garantire libero accesso.
Per approfondimenti: <a href="http://www.fail2ban.org/wiki/index.php/Whitelist" class="urlextern" title="http://www.fail2ban.org/wiki/index.php/Whitelist" rel="nofollow">http://www.fail2ban.org/wiki/index.php/Whitelist</a>
</p>

</div>

<h3>2.5 Abilitare fail2ban per accessi ssh, http e https (facoltativo)</h3>
<div class="level3">

<p>
Potete fare in modo che anche altri tentativi di accesso passino sotto il controlo di fail2ban, in particolare se utilizzate l’immagine SolarJessie, il consiglio è di abilitare il filtro anche per i servizi ssh, http e https.
</p>

<p>
Per fare ciò editiamo il file jail.conf e controlliamo che le seguenti sezioni siano abilitate come di seguito:
</p>
<pre class="code">sudo nano /etc/fail2ban/jail.conf


</pre><p> </p>
<pre class="code">[ssh]

enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 6


</pre><p> </p>

<p>
Il webserver utilizzato sulla Solarjessie è apache pertanto dovremmo verificare la relativa sezione.
</p>
<pre class="code">#
# HTTP servers
#

[apache]

enabled  = true
port     = http,https
filter   = apache-auth
logpath  = /var/log/apache*/*error.log
maxretry = 6


</pre><p> </p>

<p>
in particolare controllate che le righe enabled siano impostate =true e non false.
Potreste anche trovare che tali servizi siano già abilitati, in tal caso non modificate nulla.
</p>

<p>
Con queste ultime modifiche, anche lo stesso accesso alle pagine admin di MeterN e 123Solar passerà sotto il filtro di fail2ban e nel caso di 6 tentativi di accesso sbagliati, l’IP verrà bloccato.
</p>

</div>

<h3>2.6 Riavviare fail2ban</h3>
<div class="level3">

<p>
Per applicare le nuove impostazioni è necessario riavviare fail2ban
</p>
<pre class="code">sudo /etc/init.d/fail2ban restart


</pre><p> </p>

</div>

<h3>2.7 Verifica controlli attivi</h3>
<div class="level3">

<p>
A questo punto, se tutto è stato eseguito correttamente, lanciando il comando:
</p>
<pre class="code">iptables -L


</pre><p> </p>

<p>
dovreste vedere le nuove chain relative a fail2ban per il servizio apache, domoticz e ssh come di seguito:
</p>

<p>
<img src="/doku/lib/exe/fetch.php?w=600&tok=bf0817&media=img_domoticz:fail2ban.png" class="mediacenter img-responsive" alt="" width="600" />
</p>

</div>
Per favore inserisci le lettere nel box accanto per provare che sei una persona reale. H F S G P Per favore lascia questo campo vuoto: