🛡️ Hoofdstuk 18.4: Dynamisch Instellen van Firewallregels
Linux biedt verschillende tools om verdacht verkeer automatisch te blokkeren of dynamisch firewallregels toe te passen. Deze technieken worden vaak ingezet in combinatie met Intrusion Detection Systems (IDS) en IP-sets.
────────────────────────────────────────────
🔍 Intrusion Detection Systems (IDS)
────────────────────────────────────────────
Een IDS analyseert netwerkverkeer of logbestanden om verdachte activiteiten te signaleren, zoals brute-force aanvallen of ongeautoriseerde toegangspogingen.
1. **DenyHosts**
• Beschermt SSH tegen brute force-aanvallen via IPv4.
• Analyseert o.a. `/var/log/secure` en `/var/log/auth.log`.
• Werkt met **TCP Wrappers** via `/etc/hosts.allow` en `/etc/hosts.deny`.
• Houdt bij welke IP’s herhaaldelijk falen bij inloggen en blokkeert deze.
⚠️ Let op: DenyHosts wordt niet meer door alle moderne distributies ondersteund.
2. **Fail2Ban**
• Detecteert mislukte inlogpogingen via loganalyse.
• Blokkeert aanvallers tijdelijk of permanent.
• Werkt met meerdere systemen zoals `iptables`, `firewalld` en TCP Wrappers.
• Gebruikt onder meer `/var/log/auth.log` of `/var/log/pwdfail`.
• Instellingen te vinden in: `/etc/fail2ban/jail.conf`.
⚠️ Let op: Fail2Ban kan foutpositieven veroorzaken, dus controleer logs zorgvuldig.
────────────────────────────────────────────
📦 IP Sets: Groepsbeheer van Netwerkregels
────────────────────────────────────────────
**IP sets** maken het mogelijk om efficiënter firewallregels toe te passen op groepen van IP-adressen, poorten of netwerken.
• Handig bij blacklists of whitelists
• Maakt firewallregels sneller en overzichtelijker
• Te combineren met `iptables` of `nftables`
📌 Veelgebruikte IP set-acties:
Actie | Functie
------|--------
IP set aanmaken | Definieer een nieuwe set met opslagstructuur (`hash:ip`, `list:set`, etc.)
Set tonen | Bekijk inhoud van bestaande sets
Set opslaan | Sla configuratie op in een bestand voor hergebruik na reboot
Set verwijderen | Verwijder bestaande IP sets
────────────────────────────────────────────
📋 Praktijkvoorbeeld: Dynamisch blokkeren met IP sets
────────────────────────────────────────────
1. **Nieuwe IP set definiëren**
Gebruik een hash-tabel om individuele IP-adressen op te slaan, bijvoorbeeld een blacklist.
2. **IP-adres toevoegen aan de set**
Voeg verdacht IP-adres toe aan de set voor dynamische blokkering.
3. **Firewallregel koppelen**
Firewall blokkeert automatisch inkomende verbindingen van IP-adressen uit de set.
4. **Persistent maken**
Sla IP sets op zodat ze behouden blijven na herstart van het systeem.
📌 Schematisch overzicht:
Stap | Actie
-----|------
1️⃣ | Maak een IP set: `"blacklist"` met methode `hash:ip`
2️⃣ | Voeg IP toe aan set: bijvoorbeeld `"192.168.1.100"`
3️⃣ | Verbind de IP set aan de firewallregel om toegang te blokkeren
4️⃣ | Sla instellingen op in een configuratiebestand
────────────────────────────────────────────
✅ Samenvatting
────────────────────────────────────────────
• IDS-tools zoals DenyHosts en Fail2Ban beschermen tegen herhaalde inlogpogingen
• Fail2Ban biedt flexibele integratie met firewalltools en loganalyse
• IP sets vereenvoudigen groepsgewijze netwerkbeperkingen
• Dynamische firewallbeheer verhoogt de veiligheid en efficiëntie van systeembeveiliging