1221 lines
51 KiB
Markdown
1221 lines
51 KiB
Markdown
# Matrix Alert Relay — Документация
|
||
|
||
## 1. Архитектура и структура проекта
|
||
|
||
Проект представляет собой HTTP-сервер (вебхук-релей), который принимает POST-запросы от систем мониторинга, парсит их, форматирует и отправляет в нужные комнаты Matrix.
|
||
|
||
### 1.1. Общая схема
|
||
|
||
```mermaid
|
||
flowchart LR
|
||
subgraph VPS["VPS (Charon-vpn)"]
|
||
CS["CrowdSec<br/>━━━━━━━━━━━━<br/>• ssh-bf<br/>• ssh-slow-bf<br/>• ssh-bf_user-enum<br/>• 3xui-tls-errors<br/>• http-bad-user-agent<br/>• http-cve"]
|
||
SM["security-monitor.sh<br/>━━━━━━━━━━━━<br/>• ssh-successful-login<br/>• service-disabled<br/>• sudo-escalation<br/>• critical-file-change<br/>• package-installed<br/>• new-systemd-service<br/>• suspicious-outbound"]
|
||
MAM["mass-attack-monitor.sh<br/>━━━━━━━━━━━━<br/>• crowdsec/mass-attack<br/>(>50 банов за 5 мин)"]
|
||
end
|
||
|
||
subgraph PVE["Proxmox VE / PBS"]
|
||
PBS["PBS Backup Hooks<br/>━━━━━━━━━━━━<br/>• Backup Success<br/>• Backup Failed<br/>• Backup older than 24h"]
|
||
end
|
||
|
||
subgraph Manage["Manage (Olimp)"]
|
||
GRAF["Grafana / Prometheus<br/>━━━━━━━━━━━━<br/>• HDD Temp<br/>• HDD Bad Blocks<br/>• Disk SMART Failed<br/>• Uncorrected Read Errors<br/>• ZFS Pool Offline<br/>• UPS Battery Low"]
|
||
end
|
||
|
||
subgraph Gateway["Gateway (Olimp)"]
|
||
NPM["NPM Reverse Proxy<br/>security.zailon.ru<br/>━━━━━━━━━━━━<br/>SSL Termination<br/>HTTP → 192.168.1.208:8086"]
|
||
end
|
||
|
||
subgraph Relay["matrix-relay :8086"]
|
||
MR["matrix-relay.py<br/>━━━━━━━━━━━━<br/>• crowdsec_alerts → crowdsec.py<br/>• alerts → grafana.py<br/>• backup source → pbs.py"]
|
||
end
|
||
|
||
subgraph Matrix["Matrix Homeserver"]
|
||
SEC["🔒 security"]
|
||
DSK["💾 disk"]
|
||
BKP["📦 backup"]
|
||
UPS["🔋 ups"]
|
||
DEF["💬 default"]
|
||
end
|
||
|
||
CS -->|POST JSON<br/>crowdsec_alerts| NPM
|
||
SM -->|POST JSON<br/>crowdsec_alerts| NPM
|
||
MAM -->|POST JSON<br/>crowdsec_alerts| NPM
|
||
PBS -->|POST JSON<br/>backup format| MR
|
||
GRAF -->|POST JSON<br/>alerts| MR
|
||
NPM -->|HTTP forward| MR
|
||
MR -->|"security"| SEC
|
||
MR -->|"disk"| DSK
|
||
MR -->|"backup"| BKP
|
||
MR -->|"ups"| UPS
|
||
MR -->|"default"| DEF
|
||
```
|
||
|
||
### 1.2. Основные файлы
|
||
|
||
- `matrix-relay.py` — точка входа. HTTP-сервер, принимающий запросы и маршрутизирующий их.
|
||
- `config.py` — глобальные настройки (адрес Homeserver, токен, порт).
|
||
- `rooms.py` — маппинг логических имен каналов (`disk`, `backup`, `docker`, `security`) на ID комнат Matrix.
|
||
- `alerts.py` — словарь `ALERTS_CONFIG` с описанием всех известных типов алертов.
|
||
- `grafana.py` — обработчик стандартных вебхуков от Grafana/Prometheus.
|
||
- `pbs.py` — обработчик специфичных вебхуков от Proxmox VE / Proxmox Backup Server.
|
||
- `crowdsec.py` — обработчик вебхуков от CrowdSec и security-monitor.
|
||
- `formatters.py` — функции красивого форматирования текста для специфичных алертов.
|
||
- `matrix.py` — низкоуровневая отправка HTML-сообщений в Matrix API.
|
||
- `utils.py` — вспомогательные утилиты (экранирование HTML, форматирование байтов и т.д.).
|
||
|
||
---
|
||
|
||
## 2. Сценарий А: Добавление нового алерта (Grafana / Prometheus)
|
||
|
||
Если новый алерт приходит из Grafana или Prometheus, писать новый код парсинга не нужно. Достаточно обновить конфигурацию.
|
||
|
||
### Шаг 2.1. Добавление комнаты (если нужна новая)
|
||
|
||
Открой `rooms.py` и добавь новое имя канала и ID комнаты:
|
||
|
||
```python
|
||
CHANNELS = {
|
||
"default": "!WlzSAzmLQEATwDCaBU:matrix.zailon.ru",
|
||
"disk": "!wOlscPjqPWVbSHpYgc:matrix.zailon.ru",
|
||
"backup": "!ViUbvoFxTTbRLMtZEO:matrix.zailon.ru",
|
||
"security": "!SecurityRoomId:matrix.zailon.ru",
|
||
"ups": "!NewRoomId:matrix.zailon.ru",
|
||
}
|
||
```
|
||
|
||
### Шаг 2.2. Создание форматтера (опционально)
|
||
|
||
Если алерт требует особого вывода (например, вывод заряда батареи в процентах), открой `formatters.py`:
|
||
|
||
```python
|
||
def ups_battery(device, value=None):
|
||
if value is not None:
|
||
return f"🔋 {device:<8} {value}%"
|
||
return f"🔋 {device:<8}"
|
||
|
||
FORMATTERS = {
|
||
"temperature": temperature,
|
||
"ups_battery": ups_battery,
|
||
}
|
||
```
|
||
|
||
### Шаг 2.3. Регистрация алерта
|
||
|
||
Открой `alerts.py` и добавь новый ключ в `ALERTS_CONFIG`. Имя ключа должно точно совпадать с `alertname` из Grafana.
|
||
|
||
```python
|
||
ALERTS_CONFIG = {
|
||
"UPS Battery Low": {
|
||
"room": "ups",
|
||
"title": "🔋 Низкий заряд ИБП",
|
||
"summary": "⚡ Заряд батареи ИБП упал ниже критического.",
|
||
"info": "🔌 Проверьте питание и состояние ИБП.",
|
||
"resolved": "✅ Питание ИБП восстановлено.",
|
||
"formatter": "ups_battery",
|
||
"skip_zero_firing": False,
|
||
},
|
||
}
|
||
```
|
||
|
||
Релей автоматически подхватит новый алерт, отформатирует его и отправит в нужную комнату.
|
||
|
||
---
|
||
|
||
## 3. Сценарий Б: Добавление нового ИСТОЧНИКА алертов (кастомный вебхук)
|
||
|
||
Если новая система (например, Docker Events, Zabbix, или скрипт мониторинга UPS) шлет свой собственный JSON, не похожий на формат Grafana, нужно написать новый модуль.
|
||
|
||
### Шаг 3.1. Создание модуля-обработчика
|
||
|
||
Создай новый файл, например `ups.py` (по аналогии с `pbs.py`).
|
||
|
||
```python
|
||
import logging
|
||
from alerts.matrix import send_matrix
|
||
|
||
logger = logging.getLogger(__name__)
|
||
|
||
def process_ups_alert(obj: dict) -> None:
|
||
ups_name = obj.get("ups_name", "Unknown UPS")
|
||
battery_level = obj.get("battery", 0)
|
||
status = obj.get("status", "unknown")
|
||
|
||
if status == "critical":
|
||
text = f"<b>🚨 Критический разряд ИБП</b>\n\n"
|
||
text += f"🔋 <b>{ups_name}</b>\n"
|
||
text += f"📉 Осталось заряда: <b>{battery_level}%</b>\n"
|
||
text += "⚡ Срочно проверьте питание!"
|
||
room = "ups"
|
||
else:
|
||
text = f"<b>ℹ️ Статус ИБП</b>\n\n{ups_name}: {battery_level}%"
|
||
room = "default"
|
||
|
||
send_matrix(text, room)
|
||
```
|
||
|
||
### Шаг 3.2. Подключение обработчика в роутер
|
||
|
||
Открой `matrix-relay.py`. В методе `process_webhook` добавь условие для определения нового источника и вызови свою функцию.
|
||
|
||
```python
|
||
from alerts.ups import process_ups_alert
|
||
|
||
class WebhookHandler(BaseHTTPRequestHandler):
|
||
def process_webhook(self, obj: Dict) -> None:
|
||
if "ups_name" in obj:
|
||
logger.info("Processing UPS notification")
|
||
process_ups_alert(obj)
|
||
return
|
||
|
||
source = detect_backup_source(obj)
|
||
if source:
|
||
logger.info("Processing backup notification (source=%s)", source.value)
|
||
process_backup(obj, send_matrix, source)
|
||
return
|
||
|
||
if "alerts" in obj:
|
||
alerts = obj["alerts"]
|
||
logger.info("Processing Grafana alerts: %d items", len(alerts))
|
||
process_grafana({"alerts": alerts}, send_matrix)
|
||
return
|
||
|
||
logger.warning("Unknown webhook type")
|
||
send_matrix(
|
||
"<b>Webhook received</b><br><br><pre>" +
|
||
json.dumps(obj, ensure_ascii=False, indent=2) +
|
||
"</pre>"
|
||
)
|
||
```
|
||
|
||
Теперь при отправке POST-запроса на сервер с JSON `{"ups_name": "APC", "battery": 10, "status": "critical"}` алерт улетит в Matrix.
|
||
|
||
---
|
||
|
||
## 4. Сценарий В: Интеграция CrowdSec (VPS мониторинг безопасности)
|
||
|
||
CrowdSec — система обнаружения и блокировки атак. На VPS установлен CrowdSec, который автоматически банит IP за brute-force, CVE-эксплойты и другие атаки. Дополнительно работает bash-скрипт `security-monitor.sh`, отслеживающий системные события (SSH логины, sudo, остановка сервисов, изменение критических файлов, установка пакетов, новые systemd-сервисы, подозрительные исходящие подключения). Отдельный скрипт `mass-attack-monitor.sh` отслеживает массовые атаки (>50 банов за 5 минут).
|
||
|
||
### 4.1. Архитектура интеграции
|
||
|
||
1. **CrowdSec** на VPS детектирует атаку и выносит решение (ban/alert)
|
||
2. **Notification plugin** отправляет POST-запрос на `https://security.zailon.ru/`
|
||
3. **security-monitor.sh** и **mass-attack-monitor.sh** отправляют вебхуки напрямую через curl
|
||
4. **NPM** на Gateway форвардит запрос на `192.168.1.208:8086` (manage-сервер)
|
||
5. **matrix-relay** принимает запрос, парсит и отправляет в комнату `security` в Matrix
|
||
|
||
### 4.2. Настройка CrowdSec на VPS
|
||
|
||
#### Шаг 4.2.1. Создание notification config
|
||
|
||
Создай файл `/etc/crowdsec/notifications/matrix-relay.yaml`:
|
||
|
||
```yaml
|
||
type: http
|
||
name: matrix_relay
|
||
method: POST
|
||
format: |
|
||
{
|
||
"crowdsec_alerts": [
|
||
{{- range $index, $alert := . }}
|
||
{
|
||
"scenario": "{{ $alert.Scenario }}",
|
||
"value": "{{ $alert.Source.Value }}",
|
||
"scope": "{{ $alert.Source.Scope }}",
|
||
"action": "{{ if $alert.Remediation }}ban{{ else }}alert{{ end }}",
|
||
"reason": "{{ $alert.Message }}",
|
||
"host": "Charon-vpn"
|
||
}{{ if ne $index (sub (len $) 1) }},{{ end }}
|
||
{{- end }}
|
||
]
|
||
}
|
||
group_wait: 10s
|
||
group_by:
|
||
- scenario
|
||
- source
|
||
max_retry: 3
|
||
timeout: 10s
|
||
headers:
|
||
Content-Type: application/json
|
||
url: https://security.zailon.ru/
|
||
```
|
||
|
||
**Теория:**
|
||
- `type: http` — используем HTTP плагин для отправки
|
||
- `method: POST` — обязательно POST, иначе relay вернёт 501
|
||
- `format` — Go-шаблон, формирующий JSON для relay. Переменная `host` — имя сервера для отображения в алерте
|
||
- `group_wait: 10s` — ждём 10 секунд, чтобы сгруппировать несколько событий в один алерт
|
||
- `group_by` — группируем по сценарию и источнику
|
||
- `url` — endpoint relay (через NPM reverse proxy)
|
||
|
||
#### Шаг 4.2.2. Настройка profiles
|
||
|
||
Открой `/etc/crowdsec/profiles.yaml` и добавь `notifications: - matrix_relay` в профили, которые выносят решения:
|
||
|
||
```yaml
|
||
name: default_ip_remediation
|
||
filters:
|
||
- Alert.Remediation == true && Alert.GetScope() == "Ip"
|
||
decisions:
|
||
- type: ban
|
||
duration: 4h
|
||
notifications:
|
||
- matrix_relay
|
||
on_success: break
|
||
---
|
||
name: default_range_remediation
|
||
filters:
|
||
- Alert.Remediation == true && Alert.GetScope() == "Range"
|
||
decisions:
|
||
- type: ban
|
||
duration: 4h
|
||
notifications:
|
||
- matrix_relay
|
||
on_success: break
|
||
```
|
||
|
||
**Теория:**
|
||
- `notifications: - matrix_relay` — при срабатывании профиля CrowdSec вызовет notification plugin
|
||
- `on_success: break` — после применения профиля прекращаем обработку (важно, иначе могут сработать другие профили)
|
||
|
||
#### Шаг 4.2.3. Создание whitelist
|
||
|
||
Создай файл `/etc/crowdsec/whitelist.txt` для IP, которые не должны триггерить алерты:
|
||
|
||
```
|
||
188.73.191.202
|
||
2.27.50.20
|
||
127.0.0.1
|
||
```
|
||
|
||
**Теория:**
|
||
- Это whitelist для `security-monitor.sh` (см. ниже), не для CrowdSec
|
||
- CrowdSec использует свои whitelist в `/etc/crowdsec/parsers/`
|
||
|
||
### 4.3. Настройка security-monitor.sh на VPS
|
||
|
||
CrowdSec отлично справляется с паттернами в логах (брутфорс, веб-атаки), но для системных событий (остановка сервисов, sudo, изменение критических файлов, установка пакетов, новые systemd-сервисы, подозрительные исходящие) используем bash-скрипт, который мониторит логи и отправляет вебхуки напрямую в relay.
|
||
|
||
#### Шаг 4.3.1. Создание скрипта
|
||
|
||
Создай файл `/usr/local/bin/security-monitor.sh`:
|
||
|
||
```bash
|
||
#!/bin/bash
|
||
|
||
RELAY_URL="https://security.zailon.ru/"
|
||
HOST_NAME="Charon-vpn"
|
||
FAILED_IPS_FILE="/tmp/failed_ssh_ips.txt"
|
||
WHITELIST_FILE="/etc/crowdsec/whitelist.txt"
|
||
STATE_FILE="/tmp/ssh-monitor-state.txt"
|
||
PKG_STATE_FILE="/tmp/pkg-monitor-state.txt"
|
||
|
||
send_alert() {
|
||
local scenario="$1"
|
||
local value="$2"
|
||
local scope="$3"
|
||
local reason="$4"
|
||
|
||
curl -s -X POST "$RELAY_URL" \
|
||
-H "Content-Type: application/json" \
|
||
-d "{
|
||
\"crowdsec_alerts\": [{
|
||
\"scenario\": \"$scenario\",
|
||
\"value\": \"$value\",
|
||
\"scope\": \"$scope\",
|
||
\"action\": \"alert\",
|
||
\"reason\": \"$reason\",
|
||
\"host\": \"$HOST_NAME\"
|
||
}]
|
||
}" > /dev/null 2>&1
|
||
}
|
||
|
||
is_whitelisted() {
|
||
grep -qxF "$1" "$WHITELIST_FILE" 2>/dev/null
|
||
}
|
||
|
||
check_recent_login() {
|
||
local ip="$1"
|
||
local current_time=$(date +%s)
|
||
|
||
if [ -f "$STATE_FILE" ]; then
|
||
while IFS=' ' read -r stored_ip stored_time; do
|
||
if [ "$stored_ip" = "$ip" ]; then
|
||
local diff=$((current_time - stored_time))
|
||
if [ $diff -lt 30 ]; then
|
||
return 0
|
||
fi
|
||
fi
|
||
done < "$STATE_FILE"
|
||
fi
|
||
|
||
echo "$ip $current_time" >> "$STATE_FILE"
|
||
tail -20 "$STATE_FILE" > /tmp/state_tmp.txt && mv /tmp/state_tmp.txt "$STATE_FILE"
|
||
return 1
|
||
}
|
||
|
||
check_recent_package() {
|
||
local current_time=$(date +%s)
|
||
|
||
if [ -f "$PKG_STATE_FILE" ]; then
|
||
local last_time=$(cat "$PKG_STATE_FILE")
|
||
local diff=$((current_time - last_time))
|
||
if [ $diff -lt 10 ]; then
|
||
return 0
|
||
fi
|
||
fi
|
||
|
||
echo "$current_time" > "$PKG_STATE_FILE"
|
||
return 1
|
||
}
|
||
|
||
journalctl -u ssh.service -f --since now --no-pager | while read line; do
|
||
if echo "$line" | grep -q "Accepted"; then
|
||
IP=$(echo "$line" | grep -oP 'from \K[\d.]+')
|
||
USER=$(echo "$line" | grep -oP 'for \K\S+')
|
||
|
||
if check_recent_login "$IP"; then
|
||
continue
|
||
fi
|
||
|
||
if is_whitelisted "$IP"; then
|
||
continue
|
||
fi
|
||
|
||
if grep -q "$IP" "$FAILED_IPS_FILE" 2>/dev/null; then
|
||
REASON="SSH login by $USER (after failed attempts!)"
|
||
sed -i "/$IP/d" "$FAILED_IPS_FILE"
|
||
else
|
||
REASON="SSH login by $USER"
|
||
fi
|
||
|
||
send_alert "ssh-successful-login" "$IP" "Ip" "$REASON"
|
||
elif echo "$line" | grep -q "Failed password"; then
|
||
IP=$(echo "$line" | grep -oP 'from \K[\d.]+')
|
||
echo "$IP" >> "$FAILED_IPS_FILE"
|
||
[ $(wc -l < "$FAILED_IPS_FILE") -gt 1000 ] && > "$FAILED_IPS_FILE"
|
||
fi
|
||
done &
|
||
|
||
journalctl -u crowdsec.service -u ufw.service -u auditd.service -u docker-logs-converter.service -f --since now --no-pager | grep --line-buffered "Stopped" | while read line; do
|
||
SERVICE=$(echo "$line" | grep -oP 'Stopped \K\S+' | sed 's/\.service//')
|
||
[ -n "$SERVICE" ] && send_alert "service-disabled" "$SERVICE" "Service" "Protective service stopped"
|
||
done &
|
||
|
||
tail -F /var/log/auth.log 2>/dev/null | grep --line-buffered "sudo:" | grep --line-buffered "COMMAND=" | while read line; do
|
||
USER=$(echo "$line" | grep -oP 'sudo:\s+\K\S+')
|
||
CMD=$(echo "$line" | grep -oP 'COMMAND=\K.*')
|
||
|
||
[ "$USER" = "root" ] && continue
|
||
|
||
send_alert "sudo-escalation" "$USER" "User" "$CMD"
|
||
done &
|
||
|
||
inotifywait -m -e modify -e create -e delete -e attrib /etc/passwd /etc/shadow /root/.ssh/authorized_keys /etc/ssh/sshd_config /etc/crontab /var/spool/cron/crontabs/ 2>/dev/null | while read path event file; do
|
||
send_alert "critical-file-change" "${path}${file}" "File" "Critical file modified: $event"
|
||
done &
|
||
|
||
tail -F /var/log/apt/history.log 2>/dev/null | grep --line-buffered "^Commandline:" | while read line; do
|
||
if check_recent_package; then
|
||
continue
|
||
fi
|
||
CMD=$(echo "$line" | sed 's/^Commandline: //')
|
||
send_alert "package-installed" "$CMD" "Package" "APT command executed"
|
||
done &
|
||
|
||
inotifywait -m -e create /etc/systemd/system/ 2>/dev/null | while read path event file; do
|
||
if [[ "$file" == *.service ]]; then
|
||
send_alert "new-systemd-service" "$file" "Service" "New systemd service created"
|
||
fi
|
||
done &
|
||
|
||
while true; do
|
||
SUSPICIOUS=$(ss -tnp state established 2>/dev/null | awk 'NR>1 {print $5}' | grep -vE ':(80|443|53|22|8080|8086|3000|9090)$' | grep -vE '^(127\.|192\.168\.|10\.|172\.(1[6-9]|2[0-9]|3[01])\.)' | head -1)
|
||
if [ -n "$SUSPICIOUS" ]; then
|
||
send_alert "suspicious-outbound" "$SUSPICIOUS" "Connection" "Suspicious outbound connection detected"
|
||
sleep 300
|
||
fi
|
||
sleep 60
|
||
done &
|
||
|
||
wait
|
||
```
|
||
|
||
**Теория:**
|
||
- `send_alert()` — функция отправки вебхука в relay с форматом `crowdsec_alerts`
|
||
- `is_whitelisted()` — проверяет, есть ли IP в whitelist
|
||
- `check_recent_login()` — дедупликация SSH: если с того же IP было подключение в последние 30 секунд, игнорируем
|
||
- `check_recent_package()` — дедупликация пакетов: если команда apt была в последние 10 секунд, игнорируем
|
||
- Первый `journalctl` блок — мониторит SSH логины (успешные и неудачные)
|
||
- Второй `journalctl` блок — мониторит остановку защитных сервисов (crowdsec, ufw, auditd, docker-logs-converter)
|
||
- Третий `tail -F` блок — мониторит sudo команды от не-root пользователей
|
||
- Четвёртый `inotifywait` блок — мониторит изменения критических файлов (`/etc/passwd`, `/etc/shadow`, `/root/.ssh/authorized_keys`, `/etc/ssh/sshd_config`, `/etc/crontab`, `/var/spool/cron/crontabs/`)
|
||
- Пятый `tail -F` блок — мониторит команды apt в `/var/log/apt/history.log`
|
||
- Шестой `inotifywait` блок — мониторит создание новых `.service` файлов в `/etc/systemd/system/`
|
||
- Седьмой `while true` блок — мониторит подозрительные исходящие подключения на нестандартные порты (исключены 80/443/53/22/8080/8086/3000/9090 и приватные сети)
|
||
- `--since now` — читаем только новые события, не историю
|
||
- `--line-buffered` — для grep, чтобы обрабатывать строки сразу, не буферизируя
|
||
- Для работы `inotifywait` нужен пакет `inotify-tools`: `apt install inotify-tools -y`
|
||
|
||
#### Шаг 4.3.2. Создание systemd сервиса
|
||
|
||
Создай файл `/etc/systemd/system/security-monitor.service`:
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=Security Events Monitor
|
||
After=network.target
|
||
|
||
[Service]
|
||
Type=simple
|
||
ExecStart=/usr/local/bin/security-monitor.sh
|
||
Restart=always
|
||
RestartSec=10
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
```
|
||
|
||
#### Шаг 4.3.3. Запуск сервиса
|
||
|
||
```bash
|
||
chmod +x /usr/local/bin/security-monitor.sh
|
||
systemctl daemon-reload
|
||
systemctl enable --now security-monitor
|
||
systemctl status security-monitor --no-pager
|
||
```
|
||
|
||
### 4.4. Настройка mass-attack-monitor.sh на VPS
|
||
|
||
Отдельный скрипт для детекции массовых атак — когда за 5 минут создаётся более 50 банов. Это может быть признаком координированной атаки с разных IP.
|
||
|
||
#### Шаг 4.4.1. Создание скрипта
|
||
|
||
Создай файл `/usr/local/bin/mass-attack-monitor.sh`:
|
||
|
||
```bash
|
||
#!/bin/bash
|
||
|
||
RELAY_URL="https://security.zailon.ru/"
|
||
HOST_NAME="Charon-vpn"
|
||
STATE_FILE="/tmp/mass-attack-state.txt"
|
||
THRESHOLD=50
|
||
INTERVAL=300
|
||
|
||
send_alert() {
|
||
local count="$1"
|
||
curl -s -X POST "$RELAY_URL" \
|
||
-H "Content-Type: application/json" \
|
||
-d "{
|
||
\"crowdsec_alerts\": [{
|
||
\"scenario\": \"crowdsec/mass-attack\",
|
||
\"value\": \"$count\",
|
||
\"scope\": \"System\",
|
||
\"action\": \"alert\",
|
||
\"reason\": \"Mass attack detected: $count bans in 5 minutes\",
|
||
\"host\": \"$HOST_NAME\"
|
||
}]
|
||
}" > /dev/null 2>&1
|
||
}
|
||
|
||
while true; do
|
||
CURRENT_TIME=$(date +%s)
|
||
COUNT=$(cscli decisions list --since "${INTERVAL}s" -o json 2>/dev/null | jq 'length')
|
||
|
||
if [ "$COUNT" -gt "$THRESHOLD" ]; then
|
||
LAST_ALERT_TIME=$(cat "$STATE_FILE" 2>/dev/null || echo "0")
|
||
TIME_DIFF=$((CURRENT_TIME - LAST_ALERT_TIME))
|
||
|
||
if [ "$TIME_DIFF" -gt "$INTERVAL" ]; then
|
||
send_alert "$COUNT"
|
||
echo "$CURRENT_TIME" > "$STATE_FILE"
|
||
fi
|
||
fi
|
||
|
||
sleep 60
|
||
done
|
||
```
|
||
|
||
**Теория:**
|
||
- `THRESHOLD=50` — порог срабатывания (50 банов за 5 минут)
|
||
- `INTERVAL=300` — окно наблюдения в секундах (5 минут)
|
||
- `cscli decisions list --since 300s` — получает список банов за последние 5 минут
|
||
- `STATE_FILE` — хранит время последней отправки, чтобы не спамить алертами
|
||
- Цикл `sleep 60` — проверка раз в минуту
|
||
- `jq` — утилита для работы с JSON, нужна установка: `apt install jq -y`
|
||
|
||
#### Шаг 4.4.2. Создание systemd сервиса
|
||
|
||
Создай файл `/etc/systemd/system/mass-attack-monitor.service`:
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=Mass Attack Monitor
|
||
After=network.target crowdsec.service
|
||
|
||
[Service]
|
||
Type=simple
|
||
ExecStart=/usr/local/bin/mass-attack-monitor.sh
|
||
Restart=always
|
||
RestartSec=10
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
```
|
||
|
||
#### Шаг 4.4.3. Запуск сервиса
|
||
|
||
```bash
|
||
chmod +x /usr/local/bin/mass-attack-monitor.sh
|
||
apt install jq -y
|
||
systemctl daemon-reload
|
||
systemctl enable --now mass-attack-monitor
|
||
systemctl status mass-attack-monitor --no-pager
|
||
```
|
||
|
||
### 4.5. Настройка relay на manage-сервере
|
||
|
||
#### Шаг 4.5.1. Добавление сценариев в alerts.py
|
||
|
||
Открой `/usr/local/bin/alerts/alerts.py` и добавь конфигурацию CrowdSec алертов:
|
||
|
||
```python
|
||
ALERTS_CONFIG = {
|
||
"3xui-tls-errors": {
|
||
"room": "security",
|
||
"title": "\U0001F525 CrowdSec: TLS Errors",
|
||
"summary": "\U0001F525 \u041c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u043e\u0448\u0438\u0431\u043a\u0438 TLS handshake",
|
||
"info": "\U0001F6E0 \u041f\u0440\u043e\u0432\u0435\u0440\u044c \u043b\u043e\u0433\u0438 3x-ui \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u0430\u0442\u0430\u043a",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"3xui-successful-login": {
|
||
"room": "security",
|
||
"title": "\u26A0\uFE0F CrowdSec: \u0423\u0441\u043f\u0435\u0448\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 3x-ui",
|
||
"summary": "\U0001F464 \u0423\u0441\u043f\u0435\u0448\u043d\u0430\u044f \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u0432 \u043f\u0430\u043d\u0435\u043b\u0438 3x-ui",
|
||
"formatter": "crowdsec_alert",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"crowdsecurity/ssh-bf": {
|
||
"room": "security",
|
||
"title": "\U0001F525 CrowdSec: SSH Brute-Force",
|
||
"summary": "\U0001F511 \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 SSH brute-force \u0430\u0442\u0430\u043a\u0430",
|
||
"info": "\U0001F6E0 IP \u0437\u0430\u0431\u0430\u043d\u0435\u043d \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"crowdsecurity/ssh-slow-bf": {
|
||
"room": "security",
|
||
"title": "\U0001F525 CrowdSec: SSH Slow Brute-Force",
|
||
"summary": "\U0001F511 \u041c\u0435\u0434\u043b\u0435\u043d\u043d\u0430\u044f SSH brute-force \u0430\u0442\u0430\u043a\u0430",
|
||
"info": "\U0001F6E0 IP \u0437\u0430\u0431\u0430\u043d\u0435\u043d \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"crowdsecurity/ssh-bf_user-enum": {
|
||
"room": "security",
|
||
"title": "\U0001F525 CrowdSec: SSH User Enumeration",
|
||
"summary": "\U0001F464 \u041f\u0435\u0440\u0435\u0431\u043e\u0440 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 SSH",
|
||
"info": "\U0001F6E0 IP \u0437\u0430\u0431\u0430\u043d\u0435\u043d \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"crowdsecurity/http-bad-user-agent": {
|
||
"room": "security",
|
||
"title": "\U0001F525 CrowdSec: Bad User-Agent",
|
||
"summary": "\U0001F577\uFE0F \u041f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 User-Agent",
|
||
"info": "\U0001F6E0 IP \u0437\u0430\u0431\u0430\u043d\u0435\u043d \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"crowdsec/mass-attack": {
|
||
"room": "security",
|
||
"title": "\U0001F6A8 CrowdSec: \u041c\u0430\u0441\u0441\u043e\u0432\u0430\u044f \u0430\u0442\u0430\u043a\u0430",
|
||
"summary": "\U0001F525 \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043e \u0431\u043e\u043b\u0435\u0435 50 \u0431\u0430\u043d\u043e\u0432 \u0437\u0430 5 \u043c\u0438\u043d\u0443\u0442",
|
||
"info": "\U0001F6E0 \u041f\u0440\u043e\u0432\u0435\u0440\u044c \u043b\u043e\u0433\u0438 \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0438",
|
||
"formatter": "crowdsec_mass_attack",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"ssh-successful-login": {
|
||
"room": "security",
|
||
"title": "\u2705 CrowdSec: SSH \u0423\u0441\u043f\u0435\u0448\u043d\u044b\u0439 \u0432\u0445\u043e\u0434",
|
||
"summary": "\U0001F511 \u0423\u0441\u043f\u0435\u0448\u043d\u0430\u044f \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u043f\u043e SSH",
|
||
"formatter": "crowdsec_alert",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"service-disabled": {
|
||
"room": "security",
|
||
"title": "\u26D4 CrowdSec: \u041e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0442\u044b",
|
||
"summary": "\U0001F6A8 \u041e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u043d\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430",
|
||
"formatter": "crowdsec_service_disabled",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"sudo-escalation": {
|
||
"room": "security",
|
||
"title": "\u26A0\uFE0F CrowdSec: \u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439",
|
||
"summary": "\U0001F511 \u0412\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root",
|
||
"formatter": "crowdsec_sudo",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"critical-file-change": {
|
||
"room": "security",
|
||
"title": "\U0001F5C2\uFE0F CrowdSec: \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430",
|
||
"summary": "\U0001F4CB \u041a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0438\u0437\u043c\u0435\u043d\u0451\u043d",
|
||
"formatter": "crowdsec_file_change",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"package-installed": {
|
||
"room": "security",
|
||
"title": "\U0001F4E5 CrowdSec: \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u043f\u0430\u043a\u0435\u0442\u0430",
|
||
"summary": "\U0001F4E6 \u041d\u043e\u0432\u044b\u0439 \u043f\u0430\u043a\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0447\u0435\u0440\u0435\u0437 apt/dpkg",
|
||
"formatter": "crowdsec_package",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"new-systemd-service": {
|
||
"room": "security",
|
||
"title": "\U0001F6E0 CrowdSec: \u041d\u043e\u0432\u044b\u0439 systemd \u0441\u0435\u0440\u0432\u0438\u0441",
|
||
"summary": "\U0001F6E0 \u0421\u043e\u0437\u0434\u0430\u043d \u043d\u043e\u0432\u044b\u0439 systemd \u0441\u0435\u0440\u0432\u0438\u0441",
|
||
"formatter": "crowdsec_service",
|
||
"skip_zero_firing": False,
|
||
},
|
||
"suspicious-outbound": {
|
||
"room": "security",
|
||
"title": "\U0001F310 CrowdSec: \u041f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435",
|
||
"summary": "\U0001F310 \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435",
|
||
"formatter": "crowdsec_connection",
|
||
"skip_zero_firing": False,
|
||
},
|
||
}
|
||
```
|
||
|
||
**Теория:**
|
||
- Ключи словаря должны точно совпадать со значением `scenario` в JSON от CrowdSec
|
||
- `room: "security"` — комната Matrix для отправки
|
||
- `title` — заголовок алерта (используй Unicode escape для эмодзи)
|
||
- `formatter` — имя функции из `formatters.py` для форматирования тела сообщения
|
||
|
||
#### Шаг 4.5.2. Добавление форматтеров в formatters.py
|
||
|
||
Открой `/usr/local/bin/alerts/formatters.py` и добавь функции форматирования:
|
||
|
||
```python
|
||
def crowdsec_ban(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
scope = alert_info.get("scope", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F4CD <b>\u0426\u0435\u043b\u044c:</b> {scope}:{value}")
|
||
lines.append(f"\u26A1 <b>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0435:</b> \u0417\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_alert(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
scope = alert_info.get("scope", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
if scope and value:
|
||
lines.append(f"\U0001F4CD <b>\u0426\u0435\u043b\u044c:</b> {scope}:{value}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_service_disabled(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F6E1 <b>\u0421\u0438\u0441\u0442\u0435\u043c\u0430:</b> {value}")
|
||
lines.append(f"\u26A1 <b>\u0421\u0442\u0430\u0442\u0443\u0441:</b> \u041e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_sudo(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
reason = alert_info.get("reason", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F464 <b>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c:</b> {value}")
|
||
lines.append(f"\U0001F4DD <b>\u041a\u043e\u043c\u0430\u043d\u0434\u0430:</b> {reason}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_mass_attack(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F4CA <b>\u041a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0431\u0430\u043d\u043e\u0432:</b> {value}")
|
||
lines.append(f"\u26A1 <b>\u0421\u0442\u0430\u0442\u0443\u0441:</b> \u041a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_file_change(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F5C2\uFE0F <b>\u0424\u0430\u0439\u043b:</b> {value}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_package(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F9F0 <b>\u041f\u0430\u043a\u0435\u0442:</b> {value}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_service(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F6E0 <b>\u0421\u0435\u0440\u0432\u0438\u0441:</b> {value}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
def crowdsec_connection(alert_info):
|
||
lines = []
|
||
host = alert_info.get("host", "unknown")
|
||
value = alert_info.get("value", "")
|
||
lines.append(f"\U0001F5A5 <b>Host:</b> {host}")
|
||
lines.append(f"\U0001F310 <b>\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435:</b> {value}")
|
||
return "\n".join(lines)
|
||
|
||
|
||
FORMATTERS = {
|
||
"temperature": temperature,
|
||
"bad_blocks": bad_blocks,
|
||
"smart": smart,
|
||
"read_errors": read_errors,
|
||
"zfs_pool": zfs_pool,
|
||
"backup_outdated": backup_outdated,
|
||
"backup_success": backup_success,
|
||
"backup_failed": backup_failed,
|
||
"crowdsec_ban": crowdsec_ban,
|
||
"crowdsec_alert": crowdsec_alert,
|
||
"crowdsec_service_disabled": crowdsec_service_disabled,
|
||
"crowdsec_sudo": crowdsec_sudo,
|
||
"crowdsec_mass_attack": crowdsec_mass_attack,
|
||
"crowdsec_file_change": crowdsec_file_change,
|
||
"crowdsec_package": crowdsec_package,
|
||
"crowdsec_service": crowdsec_service,
|
||
"crowdsec_connection": crowdsec_connection,
|
||
}
|
||
|
||
|
||
def get_formatter(name):
|
||
return FORMATTERS.get(name)
|
||
```
|
||
|
||
**Теория:**
|
||
- Каждая функция принимает `alert_info` — словарь с данными из JSON
|
||
- Возвращает строку с HTML-форматированием для Matrix
|
||
- Используй Unicode escape (`\U0001F5A5`) для эмодзи, чтобы избежать проблем с кодировкой
|
||
- Словарь `FORMATTERS` должен быть объявлен **после** всех функций, иначе Python выбросит `NameError`
|
||
|
||
#### Шаг 4.5.3. Создание обработчика crowdsec.py
|
||
|
||
Создай файл `/usr/local/bin/alerts/crowdsec.py`:
|
||
|
||
```python
|
||
import logging
|
||
from typing import Dict
|
||
|
||
from alerts.alerts import ALERTS_CONFIG
|
||
from alerts.utils import escape_html
|
||
from alerts.formatters import get_formatter
|
||
|
||
logger = logging.getLogger(__name__)
|
||
|
||
SECURITY_CHANNEL = "security"
|
||
|
||
def process_crowdsec_alert(obj: Dict) -> None:
|
||
alerts = obj.get("crowdsec_alerts", [])
|
||
if not alerts:
|
||
logger.warning("No crowdsec_alerts in payload")
|
||
return
|
||
|
||
from alerts.matrix import send_matrix
|
||
|
||
for alert in alerts:
|
||
scenario = alert.get("scenario", "Unknown")
|
||
|
||
config = ALERTS_CONFIG.get(scenario)
|
||
if not config:
|
||
logger.warning("Unknown CrowdSec scenario: %s", scenario)
|
||
continue
|
||
|
||
room = config.get("room", SECURITY_CHANNEL)
|
||
title = config.get("title", f"CrowdSec Alert: {scenario}")
|
||
|
||
formatter_name = config.get("formatter")
|
||
formatter = get_formatter(formatter_name) if formatter_name else None
|
||
|
||
lines = [f"<b>{title}</b>", ""]
|
||
|
||
if formatter:
|
||
lines.append(formatter(alert))
|
||
else:
|
||
lines.append(f"\U0001F5A5 Host: {escape_html(alert.get('host', 'unknown'))}")
|
||
lines.append(f"\U0001F4CD Target: {escape_html(alert.get('scope', ''))}:{escape_html(alert.get('value', ''))}")
|
||
|
||
if "summary" in config:
|
||
lines.append("")
|
||
lines.append(config["summary"])
|
||
if "info" in config:
|
||
lines.append(config["info"])
|
||
|
||
send_matrix("\n".join(lines), room)
|
||
```
|
||
|
||
**Теория:**
|
||
- Функция `process_crowdsec_alert()` принимает JSON с ключом `crowdsec_alerts`
|
||
- Для каждого алерта ищет конфигурацию в `ALERTS_CONFIG` по имени сценария
|
||
- Применяет форматтер для тела сообщения
|
||
- Отправляет в комнату Matrix
|
||
|
||
#### Шаг 4.5.4. Подключение обработчика в matrix-relay.py
|
||
|
||
Открой `/usr/local/bin/alerts/matrix-relay.py` и добавь импорт и обработку:
|
||
|
||
```python
|
||
from alerts.crowdsec import process_crowdsec_alert
|
||
|
||
class WebhookHandler(BaseHTTPRequestHandler):
|
||
def process_webhook(self, obj: Dict) -> None:
|
||
source = detect_backup_source(obj)
|
||
if source:
|
||
logger.info("Processing backup notification (source=%s)", source.value)
|
||
process_backup(obj, send_matrix, source)
|
||
return
|
||
|
||
if "crowdsec_alerts" in obj:
|
||
logger.info("Processing CrowdSec alert")
|
||
process_crowdsec_alert(obj)
|
||
return
|
||
|
||
if "alerts" in obj:
|
||
alerts = obj["alerts"]
|
||
logger.info("Processing Grafana alerts: %d items", len(alerts))
|
||
process_grafana({"alerts": alerts}, send_matrix)
|
||
return
|
||
|
||
logger.warning("Unknown webhook type")
|
||
send_matrix(
|
||
"<b>Webhook received</b><br><br><pre>" +
|
||
json.dumps(obj, ensure_ascii=False, indent=2) +
|
||
"</pre>"
|
||
)
|
||
```
|
||
|
||
**Теория:**
|
||
- Проверка `"crowdsec_alerts" in obj` должна быть **перед** проверкой `"alerts" in obj`, иначе relay попытается обработать CrowdSec как Grafana
|
||
- Порядок проверок важен: сначала специфичные форматы, потом общие
|
||
|
||
### 4.6. Настройка NPM Reverse Proxy на Gateway
|
||
|
||
#### Шаг 4.6.1. Создание Proxy Host
|
||
|
||
В NPM создай новый Proxy Host:
|
||
- **Domain Names:** `security.zailon.ru`
|
||
- **Scheme:** `http`
|
||
- **Forward Hostname/IP:** `192.168.1.208`
|
||
- **Forward Port:** `8086`
|
||
- **Cache Assets:** ☑
|
||
- **Block Common Exploits:** ☑
|
||
- **SSL:** Let's Encrypt (галочка Force SSL)
|
||
|
||
**Теория:**
|
||
- NPM форвардит HTTPS запросы на `security.zailon.ru` на внутренний IP manage-сервера
|
||
- SSL terminates на NPM, дальше идёт HTTP
|
||
- Это позволяет VPS отправлять вебхуки через публичный домен без открытия портов на роутере
|
||
|
||
### 4.7. Тестирование интеграции
|
||
|
||
#### Шаг 4.7.1. Тест с VPS
|
||
|
||
```bash
|
||
curl -X POST https://security.zailon.ru/ \
|
||
-H "Content-Type: application/json" \
|
||
-d '{
|
||
"crowdsec_alerts": [{
|
||
"scenario": "3xui-tls-errors",
|
||
"value": "1.2.3.4",
|
||
"scope": "Ip",
|
||
"action": "ban",
|
||
"reason": "test",
|
||
"host": "Charon-vpn"
|
||
}]
|
||
}'
|
||
```
|
||
|
||
Должно прийти сообщение в комнату `security` в Matrix.
|
||
|
||
#### Шаг 4.7.2. Генерация тестового алерта CrowdSec
|
||
|
||
```bash
|
||
> /var/log/3xui-access.log
|
||
for i in {1..10}; do
|
||
echo "$(date +'%Y/%m/%d %H:%M:%S') http: TLS handshake error from 198.51.100.99:12345: tls: client offered only unsupported versions" >> /var/log/3xui-access.log
|
||
done
|
||
```
|
||
|
||
Через 5-10 секунд должен прийти алерт о бане.
|
||
|
||
#### Шаг 4.7.3. Финальный тест всех сценариев
|
||
|
||
Создай скрипт `/tmp/final-test.sh` на VPS:
|
||
|
||
```bash
|
||
#!/bin/bash
|
||
|
||
echo "=== Запуск финального теста алертов ==="
|
||
|
||
echo "[1/7] Тест: Остановка сервиса (ufw)..."
|
||
systemctl stop ufw
|
||
sleep 3
|
||
systemctl start ufw
|
||
sleep 3
|
||
|
||
echo "[2/7] Тест: Изменение критического файла (/etc/crontab)..."
|
||
echo "# final test $(date)" >> /etc/crontab
|
||
sleep 3
|
||
|
||
echo "[3/7] Тест: Установка пакета (htop)..."
|
||
apt install -y --reinstall htop > /dev/null 2>&1
|
||
sleep 3
|
||
|
||
echo "[4/7] Тест: Новый systemd сервис..."
|
||
cat > /etc/systemd/system/test-final.service << 'EOF'
|
||
[Unit]
|
||
Description=Test Final
|
||
|
||
[Service]
|
||
ExecStart=/bin/true
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
EOF
|
||
systemctl daemon-reload
|
||
sleep 3
|
||
rm /etc/systemd/system/test-final.service
|
||
systemctl daemon-reload
|
||
sleep 3
|
||
|
||
echo "[5/7] Тест: Sudo эскалация..."
|
||
useradd -m -s /bin/bash testuser 2>/dev/null
|
||
echo "testuser ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers
|
||
su - testuser -c "sudo ls /root" > /dev/null 2>&1
|
||
sleep 3
|
||
userdel -r testuser 2>/dev/null
|
||
sed -i '/testuser/d' /etc/sudoers
|
||
sleep 3
|
||
|
||
echo "[6/7] Тест: CrowdSec стандартный бан..."
|
||
> /var/log/3xui-access.log
|
||
for i in {1..10}; do
|
||
echo "$(date +'%Y/%m/%d %H:%M:%S') http: TLS handshake error from 198.51.100.55:12345: tls: client offered only unsupported versions" >> /var/log/3xui-access.log
|
||
done
|
||
sleep 5
|
||
|
||
echo "[7/7] Тест: CrowdSec массовая атака..."
|
||
> /var/log/3xui-access.log
|
||
for ip in {200..214}; do
|
||
for i in {1..5}; do
|
||
echo "$(date +'%Y/%m/%d %H:%M:%S') http: TLS handshake error from 198.51.100.$ip:12345: tls: client offered only unsupported versions" >> /var/log/3xui-access.log
|
||
done
|
||
done
|
||
sleep 5
|
||
|
||
echo "=== Тест завершён! Проверь Matrix ==="
|
||
```
|
||
|
||
```bash
|
||
chmod +x /tmp/final-test.sh
|
||
/tmp/final-test.sh
|
||
```
|
||
|
||
В Matrix должны прийти:
|
||
1. **⛔ Отключение защиты** — ufw
|
||
2. **🗂️ Изменение критического файла** — `/etc/crontab`
|
||
3. **📥 Установка пакета** — `apt install --reinstall htop`
|
||
4. **🛠 Новый systemd сервис** — `test-final.service`
|
||
5. **🗂️ Изменение критического файла** — `/etc/passwd` и `/etc/shadow` (от useradd/userdel)
|
||
6. **⚠️ Повышение привилегий** — `testuser` выполнил `sudo ls /root`
|
||
7. **🔥 TLS Errors** — бан IP `198.51.100.55`
|
||
8. **🚨 Массовая атака** — придёт через ~1 минуту (цикл mass-attack-monitor)
|
||
|
||
#### Шаг 4.7.4. Проверка логов
|
||
|
||
На VPS:
|
||
```bash
|
||
tail -20 /var/log/crowdsec.log | grep -i "notif\|http\|matrix"
|
||
```
|
||
|
||
На manage:
|
||
```bash
|
||
journalctl -u matrix-relay --no-pager -n 30
|
||
```
|
||
|
||
---
|
||
|
||
## 5. Шпаргалка по настройке вебхуков
|
||
|
||
- **URL для всех источников:** `https://security.zailon.ru/` (через NPM reverse proxy) или `http://<IP-сервера-manage>:8086/` (напрямую)
|
||
- **Метод:** POST
|
||
- **Content-Type:** `application/json`
|
||
|
||
### Пример вызова из bash-скрипта (для Docker, UPS, Cron):
|
||
|
||
```bash
|
||
curl -X POST https://security.zailon.ru/ \
|
||
-H "Content-Type: application/json" \
|
||
-d '{"ups_name": "ServerRoom_UPS", "battery": 5, "status": "critical"}'
|
||
```
|
||
|
||
---
|
||
|
||
## 6. Логирование и отладка
|
||
|
||
Все события пишутся в стандартный вывод. Если релей запущен через systemd, смотри логи:
|
||
|
||
```bash
|
||
journalctl -u matrix-relay -f
|
||
```
|
||
|
||
Если алерт пришел, но не обработался так, как ожидалось, ищи в логах строки:
|
||
- `Processing CrowdSec alert` — релей распознал формат CrowdSec
|
||
- `Processing Grafana alerts` — релей распознал формат Grafana
|
||
- `Processing backup notification` — релей распознал бэкап PVE/PBS
|
||
- `Unknown webhook type` — релей не нашел знакомых ключей и отправил "сырой" JSON в комнату `default`. Используй это для отладки новых источников!
|
||
|
||
### Отладка CrowdSec на VPS:
|
||
|
||
```bash
|
||
tail -50 /var/log/crowdsec.log | grep -i "notif\|http\|matrix"
|
||
```
|
||
|
||
Типичные ошибки:
|
||
- `HTTP server returned non 200 status code: 501` — relay не поддерживает GET, нужен `method: POST` в notification config
|
||
- `can't evaluate field Env` — в шаблоне используется `$.Env.HOSTNAME`, которого нет. Используй жёстко заданное имя хоста
|
||
- `notification 'matrix_relay' is defined multiple times` — дубликаты в `/etc/crowdsec/notifications/`, удали лишние
|
||
|
||
### Отладка security-monitor.sh:
|
||
|
||
```bash
|
||
systemctl status security-monitor
|
||
journalctl -u security-monitor -f
|
||
```
|
||
|
||
Для временной отладки добавь в скрипт:
|
||
```bash
|
||
DEBUG_LOG="/var/log/security-monitor-debug.log"
|
||
echo "$(date): ALERT $scenario $value" >> "$DEBUG_LOG"
|
||
```
|
||
|
||
### Отладка mass-attack-monitor.sh:
|
||
|
||
```bash
|
||
systemctl status mass-attack-monitor
|
||
journalctl -u mass-attack-monitor -f
|
||
cscli decisions list --since 5m -o json | jq 'length'
|
||
cat /tmp/mass-attack-state.txt
|
||
```
|
||
|
||
---
|
||
|
||
## 7. Добавление новых сценариев CrowdSec
|
||
|
||
### Шаг 7.1. Добавление нового сценария в alerts.py
|
||
|
||
Открой `/usr/local/bin/alerts/alerts.py` и добавь новый ключ:
|
||
|
||
```python
|
||
"crowdsecurity/new-scenario": {
|
||
"room": "security",
|
||
"title": "\U0001F6A8 CrowdSec: New Scenario",
|
||
"summary": "\U0001F525 \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f",
|
||
"info": "\U0001F6E0 \u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438",
|
||
"formatter": "crowdsec_ban",
|
||
"skip_zero_firing": False,
|
||
},
|
||
```
|
||
|
||
**Теория:**
|
||
- Имя ключа должно точно совпадать со значением `scenario` в JSON от CrowdSec
|
||
- Можно посмотреть доступные сценарии: `cscli scenarios list` на VPS
|
||
|
||
### Шаг 7.2. Перезапуск relay
|
||
|
||
```bash
|
||
systemctl restart matrix-relay
|
||
```
|
||
|
||
Новый сценарий подхватится автоматически, переписывать код не нужно.
|
||
|
||
---
|
||
|
||
## 8. Управление whitelist
|
||
|
||
### Добавление IP в whitelist:
|
||
|
||
```bash
|
||
echo "1.2.3.4" >> /etc/crowdsec/whitelist.txt
|
||
```
|
||
|
||
### Просмотр whitelist:
|
||
|
||
```bash
|
||
cat /etc/crowdsec/whitelist.txt
|
||
```
|
||
|
||
**Теория:**
|
||
- Whitelist используется только `security-monitor.sh` для фильтрации SSH-логинов
|
||
- CrowdSec использует свои whitelist в `/etc/crowdsec/parsers/`
|
||
- IP из whitelist не будут триггерить алерты об успешных SSH-входах
|
||
|
||
---
|
||
|
||
## 9. Ключевые файлы
|
||
|
||
### VPS (Charon-vpn):
|
||
- `/etc/crowdsec/notifications/matrix-relay.yaml` — notification config для CrowdSec
|
||
- `/etc/crowdsec/profiles.yaml` — профили с notification
|
||
- `/etc/crowdsec/whitelist.txt` — whitelist IP для security-monitor
|
||
- `/usr/local/bin/security-monitor.sh` — скрипт мониторинга системных событий
|
||
- `/usr/local/bin/mass-attack-monitor.sh` — скрипт мониторинга массовых атак
|
||
- `/etc/systemd/system/security-monitor.service` — systemd сервис
|
||
- `/etc/systemd/system/mass-attack-monitor.service` — systemd сервис
|
||
|
||
### Manage (Home Server):
|
||
- `/usr/local/bin/alerts/matrix-relay.py` — HTTP сервер relay
|
||
- `/usr/local/bin/alerts/alerts.py` — конфигурация алертов
|
||
- `/usr/local/bin/alerts/formatters.py` — форматтеры сообщений
|
||
- `/usr/local/bin/alerts/crowdsec.py` — обработчик CrowdSec
|
||
- `/etc/systemd/system/matrix-relay.service` — systemd сервис
|
||
|
||
### Gateway (Olimp):
|
||
- NPM Proxy Host: `security.zailon.ru` → `192.168.1.208:8086`
|
||
|
||
---
|
||
|
||
## 10. Решённые проблемы
|
||
|
||
1. **`$.Env.HOSTNAME` в шаблоне CrowdSec** → жёстко заданное имя хоста `"host": "Charon-vpn"`
|
||
2. **GET вместо POST в notification** → добавлен `method: POST`
|
||
3. **Дублирование алертов SSH** → дедупликация по времени (30 сек) в `security-monitor.sh`
|
||
4. **Дублирование алертов пакетов** → дедупликация по времени (10 сек) через `PKG_STATE_FILE`
|
||
5. **CPU 100% от journalctl** → переключение на `tail -F` + правильный `journalctl --since now`
|
||
6. **Старые события из журнала** → `--since now` + state file
|
||
7. **Спам от своего IP** → whitelist `/etc/crowdsec/whitelist.txt`
|
||
8. **Кириллица в Python файлах** → Unicode escape последовательности (`\U0001F5A5`)
|
||
9. **Порядок проверок в relay** → `"crowdsec_alerts"` должен проверяться **перед** `"alerts"`
|
||
10. **Дублирование systemd-сервисов** → `inotifywait -e create` без `-e modify`
|
||
11. **`NameError` в formatters.py** → словарь `FORMATTERS` объявляется **после** всех функций
|
||
12. **Битые unicode escape** → пересоздание `alerts.py` целиком при `cat >>` |