Обновить docs/services/lxc208-manage/alert/README.md
This commit is contained in:
parent
deeb8ca87a
commit
021e939cb0
@ -10,7 +10,8 @@
|
||||
flowchart LR
|
||||
subgraph VPS["VPS (Charon-vpn)"]
|
||||
CS["CrowdSec<br/>━━━━━━━━━━━━<br/>• ssh-bf<br/>• ssh-slow-bf<br/>• ssh-bf_user-enum<br/>• 3xui-tls-errors<br/>• http-bad-user-agent<br/>• http-cve"]
|
||||
SM["security-monitor.sh<br/>━━━━━━━━━━━━<br/>• ssh-successful-login<br/>• service-disabled<br/>• sudo-escalation"]
|
||||
SM["security-monitor.sh<br/>━━━━━━━━━━━━<br/>• ssh-successful-login<br/>• service-disabled<br/>• sudo-escalation<br/>• critical-file-change<br/>• package-installed<br/>• new-systemd-service<br/>• suspicious-outbound"]
|
||||
MAM["mass-attack-monitor.sh<br/>━━━━━━━━━━━━<br/>• crowdsec/mass-attack<br/>(>50 банов за 5 мин)"]
|
||||
end
|
||||
|
||||
subgraph PVE["Proxmox VE / PBS"]
|
||||
@ -39,6 +40,7 @@ flowchart LR
|
||||
|
||||
CS -->|POST JSON<br/>crowdsec_alerts| NPM
|
||||
SM -->|POST JSON<br/>crowdsec_alerts| NPM
|
||||
MAM -->|POST JSON<br/>crowdsec_alerts| NPM
|
||||
PBS -->|POST JSON<br/>backup format| MR
|
||||
GRAF -->|POST JSON<br/>alerts| MR
|
||||
NPM -->|HTTP forward| MR
|
||||
@ -57,7 +59,7 @@ flowchart LR
|
||||
- `alerts.py` — словарь `ALERTS_CONFIG` с описанием всех известных типов алертов.
|
||||
- `grafana.py` — обработчик стандартных вебхуков от Grafana/Prometheus.
|
||||
- `pbs.py` — обработчик специфичных вебхуков от Proxmox VE / Proxmox Backup Server.
|
||||
- `crowdsec.py` — обработчик вебхуков от CrowdSec.
|
||||
- `crowdsec.py` — обработчик вебхуков от CrowdSec и security-monitor.
|
||||
- `formatters.py` — функции красивого форматирования текста для специфичных алертов.
|
||||
- `matrix.py` — низкоуровневая отправка HTML-сообщений в Matrix API.
|
||||
- `utils.py` — вспомогательные утилиты (экранирование HTML, форматирование байтов и т.д.).
|
||||
@ -192,14 +194,15 @@ class WebhookHandler(BaseHTTPRequestHandler):
|
||||
|
||||
## 4. Сценарий В: Интеграция CrowdSec (VPS мониторинг безопасности)
|
||||
|
||||
CrowdSec — система обнаружения и блокировки атак. На VPS установлен CrowdSec, который автоматически банит IP за brute-force, CVE-эксплойты и другие атаки. Мы настроили отправку уведомлений в Matrix при каждом бане.
|
||||
CrowdSec — система обнаружения и блокировки атак. На VPS установлен CrowdSec, который автоматически банит IP за brute-force, CVE-эксплойты и другие атаки. Дополнительно работает bash-скрипт `security-monitor.sh`, отслеживающий системные события (SSH логины, sudo, остановка сервисов, изменение критических файлов, установка пакетов, новые systemd-сервисы, подозрительные исходящие подключения). Отдельный скрипт `mass-attack-monitor.sh` отслеживает массовые атаки (>50 банов за 5 минут).
|
||||
|
||||
### 4.1. Архитектура интеграции
|
||||
|
||||
1. **CrowdSec** на VPS детектирует атаку и выносит решение (ban/alert)
|
||||
2. **Notification plugin** отправляет POST-запрос на `https://security.zailon.ru/`
|
||||
3. **NPM** на Gateway форвардит запрос на `192.168.1.208:8086` (manage-сервер)
|
||||
4. **matrix-relay** принимает запрос, парсит и отправляет в комнату `security` в Matrix
|
||||
3. **security-monitor.sh** и **mass-attack-monitor.sh** отправляют вебхуки напрямую через curl
|
||||
4. **NPM** на Gateway форвардит запрос на `192.168.1.208:8086` (manage-сервер)
|
||||
5. **matrix-relay** принимает запрос, парсит и отправляет в комнату `security` в Matrix
|
||||
|
||||
### 4.2. Настройка CrowdSec на VPS
|
||||
|
||||
@ -291,7 +294,7 @@ on_success: break
|
||||
|
||||
### 4.3. Настройка security-monitor.sh на VPS
|
||||
|
||||
CrowdSec отлично справляется с паттернами в логах (брутфорс, веб-атаки), но для системных событий (остановка сервисов, sudo) используем bash-скрипт, который мониторит логи и отправляет вебхуки напрямую в relay.
|
||||
CrowdSec отлично справляется с паттернами в логах (брутфорс, веб-атаки), но для системных событий (остановка сервисов, sudo, изменение критических файлов, установка пакетов, новые systemd-сервисы, подозрительные исходящие) используем bash-скрипт, который мониторит логи и отправляет вебхуки напрямую в relay.
|
||||
|
||||
#### Шаг 4.3.1. Создание скрипта
|
||||
|
||||
@ -305,6 +308,7 @@ HOST_NAME="Charon-vpn"
|
||||
FAILED_IPS_FILE="/tmp/failed_ssh_ips.txt"
|
||||
WHITELIST_FILE="/etc/crowdsec/whitelist.txt"
|
||||
STATE_FILE="/tmp/ssh-monitor-state.txt"
|
||||
PKG_STATE_FILE="/tmp/pkg-monitor-state.txt"
|
||||
|
||||
send_alert() {
|
||||
local scenario="$1"
|
||||
@ -350,6 +354,21 @@ check_recent_login() {
|
||||
return 1
|
||||
}
|
||||
|
||||
check_recent_package() {
|
||||
local current_time=$(date +%s)
|
||||
|
||||
if [ -f "$PKG_STATE_FILE" ]; then
|
||||
local last_time=$(cat "$PKG_STATE_FILE")
|
||||
local diff=$((current_time - last_time))
|
||||
if [ $diff -lt 10 ]; then
|
||||
return 0
|
||||
fi
|
||||
fi
|
||||
|
||||
echo "$current_time" > "$PKG_STATE_FILE"
|
||||
return 1
|
||||
}
|
||||
|
||||
journalctl -u ssh.service -f --since now --no-pager | while read line; do
|
||||
if echo "$line" | grep -q "Accepted"; then
|
||||
IP=$(echo "$line" | grep -oP 'from \K[\d.]+')
|
||||
@ -392,18 +411,51 @@ tail -F /var/log/auth.log 2>/dev/null | grep --line-buffered "sudo:" | grep --li
|
||||
send_alert "sudo-escalation" "$USER" "User" "$CMD"
|
||||
done &
|
||||
|
||||
inotifywait -m -e modify -e create -e delete -e attrib /etc/passwd /etc/shadow /root/.ssh/authorized_keys /etc/ssh/sshd_config /etc/crontab /var/spool/cron/crontabs/ 2>/dev/null | while read path event file; do
|
||||
send_alert "critical-file-change" "${path}${file}" "File" "Critical file modified: $event"
|
||||
done &
|
||||
|
||||
tail -F /var/log/apt/history.log 2>/dev/null | grep --line-buffered "^Commandline:" | while read line; do
|
||||
if check_recent_package; then
|
||||
continue
|
||||
fi
|
||||
CMD=$(echo "$line" | sed 's/^Commandline: //')
|
||||
send_alert "package-installed" "$CMD" "Package" "APT command executed"
|
||||
done &
|
||||
|
||||
inotifywait -m -e create /etc/systemd/system/ 2>/dev/null | while read path event file; do
|
||||
if [[ "$file" == *.service ]]; then
|
||||
send_alert "new-systemd-service" "$file" "Service" "New systemd service created"
|
||||
fi
|
||||
done &
|
||||
|
||||
while true; do
|
||||
SUSPICIOUS=$(ss -tnp state established 2>/dev/null | awk 'NR>1 {print $5}' | grep -vE ':(80|443|53|22|8080|8086|3000|9090)$' | grep -vE '^(127\.|192\.168\.|10\.|172\.(1[6-9]|2[0-9]|3[01])\.)' | head -1)
|
||||
if [ -n "$SUSPICIOUS" ]; then
|
||||
send_alert "suspicious-outbound" "$SUSPICIOUS" "Connection" "Suspicious outbound connection detected"
|
||||
sleep 300
|
||||
fi
|
||||
sleep 60
|
||||
done &
|
||||
|
||||
wait
|
||||
```
|
||||
|
||||
**Теория:**
|
||||
- `send_alert()` — функция отправки вебхука в relay с форматом `crowdsec_alerts`
|
||||
- `is_whitelisted()` — проверяет, есть ли IP в whitelist
|
||||
- `check_recent_login()` — дедупликация: если с того же IP было подключение в последние 30 секунд, игнорируем
|
||||
- `check_recent_login()` — дедупликация SSH: если с того же IP было подключение в последние 30 секунд, игнорируем
|
||||
- `check_recent_package()` — дедупликация пакетов: если команда apt была в последние 10 секунд, игнорируем
|
||||
- Первый `journalctl` блок — мониторит SSH логины (успешные и неудачные)
|
||||
- Второй `journalctl` блок — мониторит остановку защитных сервисов (crowdsec, ufw, auditd, docker-logs-converter)
|
||||
- Третий `tail -F` блок — мониторит sudo команды от не-root пользователей
|
||||
- Четвёртый `inotifywait` блок — мониторит изменения критических файлов (`/etc/passwd`, `/etc/shadow`, `/root/.ssh/authorized_keys`, `/etc/ssh/sshd_config`, `/etc/crontab`, `/var/spool/cron/crontabs/`)
|
||||
- Пятый `tail -F` блок — мониторит команды apt в `/var/log/apt/history.log`
|
||||
- Шестой `inotifywait` блок — мониторит создание новых `.service` файлов в `/etc/systemd/system/`
|
||||
- Седьмой `while true` блок — мониторит подозрительные исходящие подключения на нестандартные порты (исключены 80/443/53/22/8080/8086/3000/9090 и приватные сети)
|
||||
- `--since now` — читаем только новые события, не историю
|
||||
- `--line-buffered` — для grep, чтобы обрабатывать строки сразу, не буферизируя
|
||||
- Для работы `inotifywait` нужен пакет `inotify-tools`: `apt install inotify-tools -y`
|
||||
|
||||
#### Шаг 4.3.2. Создание systemd сервиса
|
||||
|
||||
@ -424,10 +476,6 @@ RestartSec=10
|
||||
WantedBy=multi-user.target
|
||||
```
|
||||
|
||||
**Теория:**
|
||||
- `Restart=always` — автоматический перезапуск при падении
|
||||
- `RestartSec=10` — пауза 10 секунд перед перезапуском
|
||||
|
||||
#### Шаг 4.3.3. Запуск сервиса
|
||||
|
||||
```bash
|
||||
@ -437,16 +485,102 @@ systemctl enable --now security-monitor
|
||||
systemctl status security-monitor --no-pager
|
||||
```
|
||||
|
||||
### 4.4. Настройка relay на manage-сервере
|
||||
### 4.4. Настройка mass-attack-monitor.sh на VPS
|
||||
|
||||
#### Шаг 4.4.1. Добавление сценариев в alerts.py
|
||||
Отдельный скрипт для детекции массовых атак — когда за 5 минут создаётся более 50 банов. Это может быть признаком координированной атаки с разных IP.
|
||||
|
||||
#### Шаг 4.4.1. Создание скрипта
|
||||
|
||||
Создай файл `/usr/local/bin/mass-attack-monitor.sh`:
|
||||
|
||||
```bash
|
||||
#!/bin/bash
|
||||
|
||||
RELAY_URL="https://security.zailon.ru/"
|
||||
HOST_NAME="Charon-vpn"
|
||||
STATE_FILE="/tmp/mass-attack-state.txt"
|
||||
THRESHOLD=50
|
||||
INTERVAL=300
|
||||
|
||||
send_alert() {
|
||||
local count="$1"
|
||||
curl -s -X POST "$RELAY_URL" \
|
||||
-H "Content-Type: application/json" \
|
||||
-d "{
|
||||
\"crowdsec_alerts\": [{
|
||||
\"scenario\": \"crowdsec/mass-attack\",
|
||||
\"value\": \"$count\",
|
||||
\"scope\": \"System\",
|
||||
\"action\": \"alert\",
|
||||
\"reason\": \"Mass attack detected: $count bans in 5 minutes\",
|
||||
\"host\": \"$HOST_NAME\"
|
||||
}]
|
||||
}" > /dev/null 2>&1
|
||||
}
|
||||
|
||||
while true; do
|
||||
CURRENT_TIME=$(date +%s)
|
||||
COUNT=$(cscli decisions list --since "${INTERVAL}s" -o json 2>/dev/null | jq 'length')
|
||||
|
||||
if [ "$COUNT" -gt "$THRESHOLD" ]; then
|
||||
LAST_ALERT_TIME=$(cat "$STATE_FILE" 2>/dev/null || echo "0")
|
||||
TIME_DIFF=$((CURRENT_TIME - LAST_ALERT_TIME))
|
||||
|
||||
if [ "$TIME_DIFF" -gt "$INTERVAL" ]; then
|
||||
send_alert "$COUNT"
|
||||
echo "$CURRENT_TIME" > "$STATE_FILE"
|
||||
fi
|
||||
fi
|
||||
|
||||
sleep 60
|
||||
done
|
||||
```
|
||||
|
||||
**Теория:**
|
||||
- `THRESHOLD=50` — порог срабатывания (50 банов за 5 минут)
|
||||
- `INTERVAL=300` — окно наблюдения в секундах (5 минут)
|
||||
- `cscli decisions list --since 300s` — получает список банов за последние 5 минут
|
||||
- `STATE_FILE` — хранит время последней отправки, чтобы не спамить алертами
|
||||
- Цикл `sleep 60` — проверка раз в минуту
|
||||
- `jq` — утилита для работы с JSON, нужна установка: `apt install jq -y`
|
||||
|
||||
#### Шаг 4.4.2. Создание systemd сервиса
|
||||
|
||||
Создай файл `/etc/systemd/system/mass-attack-monitor.service`:
|
||||
|
||||
```ini
|
||||
[Unit]
|
||||
Description=Mass Attack Monitor
|
||||
After=network.target crowdsec.service
|
||||
|
||||
[Service]
|
||||
Type=simple
|
||||
ExecStart=/usr/local/bin/mass-attack-monitor.sh
|
||||
Restart=always
|
||||
RestartSec=10
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
```
|
||||
|
||||
#### Шаг 4.4.3. Запуск сервиса
|
||||
|
||||
```bash
|
||||
chmod +x /usr/local/bin/mass-attack-monitor.sh
|
||||
apt install jq -y
|
||||
systemctl daemon-reload
|
||||
systemctl enable --now mass-attack-monitor
|
||||
systemctl status mass-attack-monitor --no-pager
|
||||
```
|
||||
|
||||
### 4.5. Настройка relay на manage-сервере
|
||||
|
||||
#### Шаг 4.5.1. Добавление сценариев в alerts.py
|
||||
|
||||
Открой `/usr/local/bin/alerts/alerts.py` и добавь конфигурацию CrowdSec алертов:
|
||||
|
||||
```python
|
||||
ALERTS_CONFIG = {
|
||||
# ... существующие алерты ...
|
||||
|
||||
"3xui-tls-errors": {
|
||||
"room": "security",
|
||||
"title": "\U0001F525 CrowdSec: TLS Errors",
|
||||
@ -494,6 +628,14 @@ ALERTS_CONFIG = {
|
||||
"formatter": "crowdsec_ban",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"crowdsec/mass-attack": {
|
||||
"room": "security",
|
||||
"title": "\U0001F6A8 CrowdSec: \u041c\u0430\u0441\u0441\u043e\u0432\u0430\u044f \u0430\u0442\u0430\u043a\u0430",
|
||||
"summary": "\U0001F525 \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043e \u0431\u043e\u043b\u0435\u0435 50 \u0431\u0430\u043d\u043e\u0432 \u0437\u0430 5 \u043c\u0438\u043d\u0443\u0442",
|
||||
"info": "\U0001F6E0 \u041f\u0440\u043e\u0432\u0435\u0440\u044c \u043b\u043e\u0433\u0438 \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0438",
|
||||
"formatter": "crowdsec_mass_attack",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"ssh-successful-login": {
|
||||
"room": "security",
|
||||
"title": "\u2705 CrowdSec: SSH \u0423\u0441\u043f\u0435\u0448\u043d\u044b\u0439 \u0432\u0445\u043e\u0434",
|
||||
@ -515,6 +657,34 @@ ALERTS_CONFIG = {
|
||||
"formatter": "crowdsec_sudo",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"critical-file-change": {
|
||||
"room": "security",
|
||||
"title": "\U0001F5C2\uFE0F CrowdSec: \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430",
|
||||
"summary": "\U0001F4CB \u041a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0438\u0437\u043c\u0435\u043d\u0451\u043d",
|
||||
"formatter": "crowdsec_file_change",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"package-installed": {
|
||||
"room": "security",
|
||||
"title": "\U0001F4E5 CrowdSec: \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u043f\u0430\u043a\u0435\u0442\u0430",
|
||||
"summary": "\U0001F4E6 \u041d\u043e\u0432\u044b\u0439 \u043f\u0430\u043a\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0447\u0435\u0440\u0435\u0437 apt/dpkg",
|
||||
"formatter": "crowdsec_package",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"new-systemd-service": {
|
||||
"room": "security",
|
||||
"title": "\U0001F6E0 CrowdSec: \u041d\u043e\u0432\u044b\u0439 systemd \u0441\u0435\u0440\u0432\u0438\u0441",
|
||||
"summary": "\U0001F6E0 \u0421\u043e\u0437\u0434\u0430\u043d \u043d\u043e\u0432\u044b\u0439 systemd \u0441\u0435\u0440\u0432\u0438\u0441",
|
||||
"formatter": "crowdsec_service",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
"suspicious-outbound": {
|
||||
"room": "security",
|
||||
"title": "\U0001F310 CrowdSec: \u041f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435",
|
||||
"summary": "\U0001F310 \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435",
|
||||
"formatter": "crowdsec_connection",
|
||||
"skip_zero_firing": False,
|
||||
},
|
||||
}
|
||||
```
|
||||
|
||||
@ -524,7 +694,7 @@ ALERTS_CONFIG = {
|
||||
- `title` — заголовок алерта (используй Unicode escape для эмодзи)
|
||||
- `formatter` — имя функции из `formatters.py` для форматирования тела сообщения
|
||||
|
||||
#### Шаг 4.4.2. Добавление форматтеров в formatters.py
|
||||
#### Шаг 4.5.2. Добавление форматтеров в formatters.py
|
||||
|
||||
Открой `/usr/local/bin/alerts/formatters.py` и добавь функции форматирования:
|
||||
|
||||
@ -539,6 +709,7 @@ def crowdsec_ban(alert_info):
|
||||
lines.append(f"\u26A1 <b>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0435:</b> \u0417\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_alert(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
@ -549,6 +720,7 @@ def crowdsec_alert(alert_info):
|
||||
lines.append(f"\U0001F4CD <b>\u0426\u0435\u043b\u044c:</b> {scope}:{value}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_service_disabled(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
@ -558,6 +730,7 @@ def crowdsec_service_disabled(alert_info):
|
||||
lines.append(f"\u26A1 <b>\u0421\u0442\u0430\u0442\u0443\u0441:</b> \u041e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_sudo(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
@ -568,6 +741,53 @@ def crowdsec_sudo(alert_info):
|
||||
lines.append(f"\U0001F4DD <b>\u041a\u043e\u043c\u0430\u043d\u0434\u0430:</b> {reason}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_mass_attack(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
value = alert_info.get("value", "")
|
||||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||||
lines.append(f"\U0001F4CA <b>\u041a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0431\u0430\u043d\u043e\u0432:</b> {value}")
|
||||
lines.append(f"\u26A1 <b>\u0421\u0442\u0430\u0442\u0443\u0441:</b> \u041a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_file_change(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
value = alert_info.get("value", "")
|
||||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||||
lines.append(f"\U0001F5C2\uFE0F <b>\u0424\u0430\u0439\u043b:</b> {value}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_package(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
value = alert_info.get("value", "")
|
||||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||||
lines.append(f"\U0001F9F0 <b>\u041f\u0430\u043a\u0435\u0442:</b> {value}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_service(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
value = alert_info.get("value", "")
|
||||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||||
lines.append(f"\U0001F6E0 <b>\u0421\u0435\u0440\u0432\u0438\u0441:</b> {value}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
def crowdsec_connection(alert_info):
|
||||
lines = []
|
||||
host = alert_info.get("host", "unknown")
|
||||
value = alert_info.get("value", "")
|
||||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||||
lines.append(f"\U0001F310 <b>\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435:</b> {value}")
|
||||
return "\n".join(lines)
|
||||
|
||||
|
||||
FORMATTERS = {
|
||||
"temperature": temperature,
|
||||
"bad_blocks": bad_blocks,
|
||||
@ -581,15 +801,25 @@ FORMATTERS = {
|
||||
"crowdsec_alert": crowdsec_alert,
|
||||
"crowdsec_service_disabled": crowdsec_service_disabled,
|
||||
"crowdsec_sudo": crowdsec_sudo,
|
||||
"crowdsec_mass_attack": crowdsec_mass_attack,
|
||||
"crowdsec_file_change": crowdsec_file_change,
|
||||
"crowdsec_package": crowdsec_package,
|
||||
"crowdsec_service": crowdsec_service,
|
||||
"crowdsec_connection": crowdsec_connection,
|
||||
}
|
||||
|
||||
|
||||
def get_formatter(name):
|
||||
return FORMATTERS.get(name)
|
||||
```
|
||||
|
||||
**Теория:**
|
||||
- Каждая функция принимает `alert_info` — словарь с данными из JSON
|
||||
- Возвращает строку с HTML-форматированием для Matrix
|
||||
- Используй Unicode escape (`\U0001F5A5`) для эмодзи, чтобы избежать проблем с кодировкой
|
||||
- Словарь `FORMATTERS` должен быть объявлен **после** всех функций, иначе Python выбросит `NameError`
|
||||
|
||||
#### Шаг 4.4.3. Создание обработчика crowdsec.py
|
||||
#### Шаг 4.5.3. Создание обработчика crowdsec.py
|
||||
|
||||
Создай файл `/usr/local/bin/alerts/crowdsec.py`:
|
||||
|
||||
@ -650,7 +880,7 @@ def process_crowdsec_alert(obj: Dict) -> None:
|
||||
- Применяет форматтер для тела сообщения
|
||||
- Отправляет в комнату Matrix
|
||||
|
||||
#### Шаг 4.4.4. Подключение обработчика в matrix-relay.py
|
||||
#### Шаг 4.5.4. Подключение обработчика в matrix-relay.py
|
||||
|
||||
Открой `/usr/local/bin/alerts/matrix-relay.py` и добавь импорт и обработку:
|
||||
|
||||
@ -688,9 +918,9 @@ class WebhookHandler(BaseHTTPRequestHandler):
|
||||
- Проверка `"crowdsec_alerts" in obj` должна быть **перед** проверкой `"alerts" in obj`, иначе relay попытается обработать CrowdSec как Grafana
|
||||
- Порядок проверок важен: сначала специфичные форматы, потом общие
|
||||
|
||||
### 4.5. Настройка NPM Reverse Proxy на Gateway
|
||||
### 4.6. Настройка NPM Reverse Proxy на Gateway
|
||||
|
||||
#### Шаг 4.5.1. Создание Proxy Host
|
||||
#### Шаг 4.6.1. Создание Proxy Host
|
||||
|
||||
В NPM создай новый Proxy Host:
|
||||
- **Domain Names:** `security.zailon.ru`
|
||||
@ -706,9 +936,9 @@ class WebhookHandler(BaseHTTPRequestHandler):
|
||||
- SSL terminates на NPM, дальше идёт HTTP
|
||||
- Это позволяет VPS отправлять вебхуки через публичный домен без открытия портов на роутере
|
||||
|
||||
### 4.6. Тестирование интеграции
|
||||
### 4.7. Тестирование интеграции
|
||||
|
||||
#### Шаг 4.6.1. Тест с VPS
|
||||
#### Шаг 4.7.1. Тест с VPS
|
||||
|
||||
```bash
|
||||
curl -X POST https://security.zailon.ru/ \
|
||||
@ -727,7 +957,7 @@ curl -X POST https://security.zailon.ru/ \
|
||||
|
||||
Должно прийти сообщение в комнату `security` в Matrix.
|
||||
|
||||
#### Шаг 4.6.2. Генерация тестового алерта CrowdSec
|
||||
#### Шаг 4.7.2. Генерация тестового алерта CrowdSec
|
||||
|
||||
```bash
|
||||
> /var/log/3xui-access.log
|
||||
@ -738,7 +968,90 @@ done
|
||||
|
||||
Через 5-10 секунд должен прийти алерт о бане.
|
||||
|
||||
#### Шаг 4.6.3. Проверка логов
|
||||
#### Шаг 4.7.3. Финальный тест всех сценариев
|
||||
|
||||
Создай скрипт `/tmp/final-test.sh` на VPS:
|
||||
|
||||
```bash
|
||||
#!/bin/bash
|
||||
|
||||
echo "=== Запуск финального теста алертов ==="
|
||||
|
||||
echo "[1/7] Тест: Остановка сервиса (ufw)..."
|
||||
systemctl stop ufw
|
||||
sleep 3
|
||||
systemctl start ufw
|
||||
sleep 3
|
||||
|
||||
echo "[2/7] Тест: Изменение критического файла (/etc/crontab)..."
|
||||
echo "# final test $(date)" >> /etc/crontab
|
||||
sleep 3
|
||||
|
||||
echo "[3/7] Тест: Установка пакета (htop)..."
|
||||
apt install -y --reinstall htop > /dev/null 2>&1
|
||||
sleep 3
|
||||
|
||||
echo "[4/7] Тест: Новый systemd сервис..."
|
||||
cat > /etc/systemd/system/test-final.service << 'EOF'
|
||||
[Unit]
|
||||
Description=Test Final
|
||||
|
||||
[Service]
|
||||
ExecStart=/bin/true
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
EOF
|
||||
systemctl daemon-reload
|
||||
sleep 3
|
||||
rm /etc/systemd/system/test-final.service
|
||||
systemctl daemon-reload
|
||||
sleep 3
|
||||
|
||||
echo "[5/7] Тест: Sudo эскалация..."
|
||||
useradd -m -s /bin/bash testuser 2>/dev/null
|
||||
echo "testuser ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers
|
||||
su - testuser -c "sudo ls /root" > /dev/null 2>&1
|
||||
sleep 3
|
||||
userdel -r testuser 2>/dev/null
|
||||
sed -i '/testuser/d' /etc/sudoers
|
||||
sleep 3
|
||||
|
||||
echo "[6/7] Тест: CrowdSec стандартный бан..."
|
||||
> /var/log/3xui-access.log
|
||||
for i in {1..10}; do
|
||||
echo "$(date +'%Y/%m/%d %H:%M:%S') http: TLS handshake error from 198.51.100.55:12345: tls: client offered only unsupported versions" >> /var/log/3xui-access.log
|
||||
done
|
||||
sleep 5
|
||||
|
||||
echo "[7/7] Тест: CrowdSec массовая атака..."
|
||||
> /var/log/3xui-access.log
|
||||
for ip in {200..214}; do
|
||||
for i in {1..5}; do
|
||||
echo "$(date +'%Y/%m/%d %H:%M:%S') http: TLS handshake error from 198.51.100.$ip:12345: tls: client offered only unsupported versions" >> /var/log/3xui-access.log
|
||||
done
|
||||
done
|
||||
sleep 5
|
||||
|
||||
echo "=== Тест завершён! Проверь Matrix ==="
|
||||
```
|
||||
|
||||
```bash
|
||||
chmod +x /tmp/final-test.sh
|
||||
/tmp/final-test.sh
|
||||
```
|
||||
|
||||
В Matrix должны прийти:
|
||||
1. **⛔ Отключение защиты** — ufw
|
||||
2. **🗂️ Изменение критического файла** — `/etc/crontab`
|
||||
3. **📥 Установка пакета** — `apt install --reinstall htop`
|
||||
4. **🛠 Новый systemd сервис** — `test-final.service`
|
||||
5. **🗂️ Изменение критического файла** — `/etc/passwd` и `/etc/shadow` (от useradd/userdel)
|
||||
6. **⚠️ Повышение привилегий** — `testuser` выполнил `sudo ls /root`
|
||||
7. **🔥 TLS Errors** — бан IP `198.51.100.55`
|
||||
8. **🚨 Массовая атака** — придёт через ~1 минуту (цикл mass-attack-monitor)
|
||||
|
||||
#### Шаг 4.7.4. Проверка логов
|
||||
|
||||
На VPS:
|
||||
```bash
|
||||
@ -806,6 +1119,15 @@ DEBUG_LOG="/var/log/security-monitor-debug.log"
|
||||
echo "$(date): ALERT $scenario $value" >> "$DEBUG_LOG"
|
||||
```
|
||||
|
||||
### Отладка mass-attack-monitor.sh:
|
||||
|
||||
```bash
|
||||
systemctl status mass-attack-monitor
|
||||
journalctl -u mass-attack-monitor -f
|
||||
cscli decisions list --since 5m -o json | jq 'length'
|
||||
cat /tmp/mass-attack-state.txt
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 7. Добавление новых сценариев CrowdSec
|
||||
@ -867,7 +1189,9 @@ cat /etc/crowdsec/whitelist.txt
|
||||
- `/etc/crowdsec/profiles.yaml` — профили с notification
|
||||
- `/etc/crowdsec/whitelist.txt` — whitelist IP для security-monitor
|
||||
- `/usr/local/bin/security-monitor.sh` — скрипт мониторинга системных событий
|
||||
- `/usr/local/bin/mass-attack-monitor.sh` — скрипт мониторинга массовых атак
|
||||
- `/etc/systemd/system/security-monitor.service` — systemd сервис
|
||||
- `/etc/systemd/system/mass-attack-monitor.service` — systemd сервис
|
||||
|
||||
### Manage (Home Server):
|
||||
- `/usr/local/bin/alerts/matrix-relay.py` — HTTP сервер relay
|
||||
@ -885,9 +1209,13 @@ cat /etc/crowdsec/whitelist.txt
|
||||
|
||||
1. **`$.Env.HOSTNAME` в шаблоне CrowdSec** → жёстко заданное имя хоста `"host": "Charon-vpn"`
|
||||
2. **GET вместо POST в notification** → добавлен `method: POST`
|
||||
3. **Дублирование алертов** → дедупликация по времени (30 сек) в `security-monitor.sh`
|
||||
4. **CPU 100% от journalctl** → переключение на `tail -F` + правильный `journalctl --since now`
|
||||
5. **Старые события из журнала** → `--since now` + state file
|
||||
6. **Спам от своего IP** → whitelist `/etc/crowdsec/whitelist.txt`
|
||||
7. **Кириллица в Python файлах** → Unicode escape последовательности (`\U0001F5A5`)
|
||||
8. **Порядок проверок в relay** → `"crowdsec_alerts"` должен проверяться **перед** `"alerts"`
|
||||
3. **Дублирование алертов SSH** → дедупликация по времени (30 сек) в `security-monitor.sh`
|
||||
4. **Дублирование алертов пакетов** → дедупликация по времени (10 сек) через `PKG_STATE_FILE`
|
||||
5. **CPU 100% от journalctl** → переключение на `tail -F` + правильный `journalctl --since now`
|
||||
6. **Старые события из журнала** → `--since now` + state file
|
||||
7. **Спам от своего IP** → whitelist `/etc/crowdsec/whitelist.txt`
|
||||
8. **Кириллица в Python файлах** → Unicode escape последовательности (`\U0001F5A5`)
|
||||
9. **Порядок проверок в relay** → `"crowdsec_alerts"` должен проверяться **перед** `"alerts"`
|
||||
10. **Дублирование systemd-сервисов** → `inotifywait -e create` без `-e modify`
|
||||
11. **`NameError` в formatters.py** → словарь `FORMATTERS` объявляется **после** всех функций
|
||||
12. **Битые unicode escape** → пересоздание `alerts.py` целиком при `cat >>`
|
||||
Loading…
Reference in New Issue
Block a user