IT-Sicherheit
Fail2ban & CrowdSec
Fail2ban und CrowdSec sind quelloffene, log-basierte Intrusion-Prevention-Tools: Sie erkennen Angriffsmuster in Logs und sperren auffällige IP-Adressen.
- Log-basierte IP-Sperren
- Fail2ban: lokal, regelbasiert
- CrowdSec: verteilt, Community
- GPL bzw. MIT
- Brute-Force-/Scan-Abwehr
Fail2ban und CrowdSec sind quelloffene Werkzeuge zur log-basierten Angriffsabwehr (Intrusion Prevention): Sie lesen Logdateien, erkennen Angriffsmuster wie wiederholte Fehlanmeldungen und sperren die auffälligen IP-Adressen über die Firewall.
Dieser Artikel erklärt beide Ansätze, den klassischen, lokalen von Fail2ban und den modernen, verteilten von CrowdSec mit geteilter Bedrohungsintelligenz, ihre Architektur und ihre ehrliche Einordnung gegenüber SIEM und IDS.
1. Fail2ban: lokal und regelbasiert
Fail2ban scannt Logdateien (etwa von SSH, Apache, Postfix) mit konfigurierbaren Filtern. Ein Jail verbindet Filter, Logquelle und Schwellwerte: Überschreitet eine IP innerhalb der Beobachtungszeit (findtime) die erlaubten Fehlversuche (maxretry), wird sie für die Dauer bantime über die Host-Firewall (nftables/iptables) gesperrt. Für gängige Dienste bringt Fail2ban fertige Filter mit.
2. CrowdSec: verteilt und kollaborativ
CrowdSec trennt Erkennung und Durchsetzung: Ein Agent parst Logs anhand von Scenarios und meldet erkannte Angriffe an eine Local API, die daraus Entscheidungen (Sperren) ableitet. Durchgesetzt werden diese von separaten Bouncers an verschiedenen Punkten, etwa der Firewall, nginx oder Cloudflare. So lässt sich dieselbe Entscheidung an mehreren Stellen anwenden, und eine Local API kann mehrere Server bedienen.
3. Geteilte Bedrohungsintelligenz
CrowdSecs Besonderheit ist die kollaborative Community-Blocklist: Löst ein Agent ein Standard-Scenario aus, meldet er Metadaten (Scenario, Zeitpunkt, angreifende IP) an die zentrale API und erhält im Gegenzug eine Blocklist bekannter Angreifer-IPs, die zu den eigenen Scenarios passt. So profitiert jede Instanz von den Beobachtungen aller, ein Vorteil, den das rein lokale Fail2ban nicht bietet.
Der Unterschied ist nicht das Sperren, sondern das Wissen: Fail2ban reagiert auf das, was am eigenen Host passiert; CrowdSec reagiert zusätzlich auf das, was anderswo bereits aufgefallen ist.
4. Einordnung: kein SIEM, kein vollwertiges IDS
Beide Werkzeuge sind Ergänzungen, kein Ersatz: CrowdSec stellt selbst klar, dass es kein SIEM ist und nur die für seine Scenarios relevanten Logs verarbeitet. Für umfassende Korrelation und Aufbewahrung ist ein SIEM (etwa Wazuh) zuständig, für paketbasierte Erkennung ein IDS wie Suricata. Fail2ban wiederum schützt nicht vor verteilten Angriffen, bei denen jede einzelne IP unter dem Schwellwert bleibt.
5. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Günstige, wirksame erste Abwehrschicht gegen Brute-Force/Scans | Kein Ersatz für SIEM oder paketbasiertes IDS |
| Fail2ban: schlank, etabliert, pro Host schnell eingerichtet | Fail2ban: rein lokal, reaktiv, blind für verteilte Angriffe |
| CrowdSec: verteilt, Bouncer-Konzept, geteilte IP-Reputation | CrowdSec: mehr Komponenten; Community-Daten unter eigener EULA |
Häufige Fragen zu Fail2ban & CrowdSec
Für einen einzelnen Host und einfache Fälle ist Fail2ban schnell eingerichtet und völlig ausreichend. Sobald mehrere Server, geteilte Bedrohungsintelligenz und unterschiedliche Durchsetzungspunkte (Firewall, Webserver, CDN) gefragt sind, spielt CrowdSec seine Stärken aus.
Nein, und das ist ausdrücklich nicht sein Anspruch. CrowdSec ist eine kollaborative IPS-Ergänzung. Umfassende Korrelation und Langzeitaufbewahrung leistet ein SIEM (etwa Wazuh), paketbasierte Erkennung ein IDS wie Suricata.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Fail2ban & CrowdSec im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.