Crowdsec konfigurieren bzgl. Docker / Vaultwarden NPM

[Chibi88]

Hallo,

vielleicht kann mir jemand helfen, da das Thema noch ziemlich kompliziert ist.

Folgender Fall:
Ich hoste aus Testzwecken einen Server, der Docker, NPM und eine Vaultwarden Docker Instanz laufen hat.

Ich habe mich jetzt mit dem Thema Crowdsec beschäftigt und dies installiert. Dazu habe ich auch den Firewall bouncer installiert. Der anschließende Test hat mir gezeigt, dass SSH effektiv geschützt wird.

Jetzt würde ich aber gerne noch meine Vaultwarden Intanz und / oder meinen NPM schützen. Hier weiß ich jetzt nicht, wie ich das anstelle. Muss ich irgendwo in einer Config den Pfad zu meiner Vaultwarden Logdatei angeben? Wenn ja, wo? Ich habe unter /etc/crowdsec die acquis.yaml Datei gefunden, die Pfade enthalten zu haben. Füge ich da jetzt manuell den Pfad zur Vaultwarden Dockerdatei an, oder bediene ich mich anderer Methoden?

 

[Malaclypse17]

Crowdsec ist so lange schön, wie man Bouncer für die gewünschten Programme hat, ich fand es für mich recht umständlich im Vergleich zu Fail2Ban.
In Fail2Ban kannst du relativ einfach aus Logs eigene Filter für fehlgeschlagene Logins oder ähnliches basteln mit ein wenig Regex, ebenso gibt es sehr viele vorgefertigte Jails.

Bei NPM weiß ich es nicht, da ich Nginx nativ nutze, ich würde mal annehmen, dass du das Logfile über einen Mountpoint auf der Maschine einbinden müsstest, damit darauf zugegriffen werden kann.
Sicherlich gibts für Fail2Ban in Verbindung mit NPM auch genug Anleitungen im Netz.

 

[Chibi88]

Funktioniert das denn nicht mit dem Firewall Bouncer? Der wird doch einfach nachinstalliert und blockt auf OSI Schicht 3, also IP Adressen. Braucht man dann trotzdem noch einen anderen Bouncer?

 

[Malaclypse17]

Naja, es kommt doch drauf an, welche Dienste man schützen will? Ich schütze über Fail2Ban sowohl aggressive Portscans über das UFW-Log, als auch z.B. fehlgeschlagene Loginversuche auf Vaultwarden, um zwei Beispiele zu nennen.
Im Grunde muss ja sowohl Crowdsec als auch Fail2Ban wissen, welche Aktionen unerwünscht sind und das wird aus den Logs gelesen, für alles andere wäre eine Web Application Firewall wohl sinnvoller.