A las 03:00, fail2ban prohibió 200 IP: victoria contra el ruido SSH. A las 14:00, nadie puede conectarse desde la oficina: la IP saliente compartida del ISP fue marcada después de demasiados errores tipográficos de contraseña en el panel de administración.
Fail2ban lee registros, cuenta fallas y aplica una regla de iptables/nftables. Útil contra escaneos oportunistas, insuficiente contra un atacante que lee tus umbrales.
Qué hace bien fail2ban
Reduzca el ruido en sshd, postfix, apache auth. Automatiza una respuesta sin SIEM. Bajo costo de CPU en VPS pequeños.
Configuración: bantime, findtime, maxretry: documente el motivo de estos números.
Límites estructurales
| Ataque | efectividad de fail2ban |
|---|---|
| Escaneo SSH masivo | Bueno |
| Fuerza bruta lenta (1 solicitud/min/IP) | Bajo |
| Red de bots distribuida | Bajo |
| Explotación de aplicación sin registro de autenticación | Cero |
| Volumen DDoS | Cero |
Fail2ban sólo ve lo que se registra en el formato correcto.
Explotación falsa positiva
Monitoreo externo, escáneres de seguridad, colegas a través de VPN compartida. Utilice ignoreip para rangos estables, no 0.0.0.0/0 por pereza.
Alerta cuando se prohíbe un /16 completo (señal de ataque o mala cárcel).
Endurecimiento de prioridades
- Deshabilite la contraseña de autenticación SSH.
- Cierre los puertos innecesarios (ufw/nft).
- MFA o bastión.
- Actualizaciones de autoseguridad.
- Fail2ban en la capa 5, no en la capa 1.
Observabilidad
Prohibiciones de exportación a Prometheus/Grafana. Correlacionarse con el borde WAF. Runbook de desbanificación de emergencia sin deshabilitar fail2ban a nivel mundial.
Capas antes de fail2ban
Orden recomendado: cerrar puertos innecesarios → claves SSH → MFA/bastión → WAF/borde límite de velocidad → cárceles específicas de fail2ban → correlación SIEM.
Revise las cárceles después de cada implementación de un nuevo servicio registrado: cambio de formato del registro = cárcel muerta o falsos positivos.
Mantenga un registro de las prohibiciones semanales: IP repetida del país ASN = escaneo real; IP del ISP local = probablemente el equipo.
Fail2ban destaca por reducir el ruido dominical de sshd; no reemplaza el parche Tuesday o WAF en el top 10 de OWASP.
Cuándo agregar una cárcel
Nuevo servicio con autenticación básica: cárcel después de dos semanas de registros de formato estable, no implementación del día D.
Repetición de la cárcel: prohibición larga después de N prohibiciones cortas: análisis persistente útil, peligroso si IP FAI dinámica.
Alternativa moderna: señales compartidas de CrowdSec: complemento de fail2ban, no reflejo de reemplazo.
Ataque de relleno de credenciales al iniciar sesión en la web: fail2ban en nginx 401 puede ayudar, pero las reglas WAF califican + CAPTCHA después de N fallas más duraderas.
Registro centralizado: enriquezca los eventos de prohibición con ASN geográfico para decidir bloquear el firewall permanente frente a la prohibición temporal fail2ban.
Integración SIEM
Eventos de prohibición de exportación en JSON: IP, cárcel, marca de tiempo, país. Correlacionar con los registros de bloques WAF: misma IP en ambos = ataque coordinado.
Libro de jugadas: operación de desbanificación de IP a través del script idempotente fail2ban-client unban - sin edición manual de iptables.
Vuelva a evaluar las cárceles después de la migración a IPv6: muchas configuraciones ignoran los patrones sshd [::ffff:].
Resumen operativo
Fail2ban sigue siendo una herramienta conveniente para reducir el ruido SSH y los escaneos oportunistas en VPS y servidores dedicados. No constituye una línea de defensa contra un atacante que apunta a una vulnerabilidad de una aplicación o utiliza una botnet de baja velocidad. Colóquelo después de reforzar SSH, bastión, actualizaciones, WAF y monitoreo centralizado.
Revise cada cárcel trimestralmente: registros rotados, formato cambiado, servicio eliminado. Una cárcel huérfana ofrece falsas medidas de seguridad o prohíbe el seguimiento. Documentar el procedimiento de desbanificación y las listas blancas operativas. Para servicios administrados, solicite el equivalente administrado en lugar de los iptables artesanales.
Atención al cliente
Conexión rechazada prohibición de IP: el soporte de preguntas frecuentes diferencia la prohibición de fail2ban frente al sitio inactivo.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
pañales
Puertos, claves, bastión, WAF, fail2ban dirigido, SIEM: orden documentada.
Decide y avanza sin puntos ciegos
- Cerrar puertos innecesarios: claves SSH, MFA o bastión, borde WAF y luego fail2ban objetivo.
- Revisar las cárceles después de cada implementación: formato de registro cambiado = cárcel muerta o falsos positivos.
- Mantenga un registro semanal de prohibiciones: ASN repetidos versus IP del ISP local (equipo legítimo).
- No confunda ruido con ataque: fail2ban corta el escaneo el domingo, no una aplicación CVE.
- Capas adicionales: SIEM, límite de velocidad, martes de parches documentados en el runbook.
Evalúe WAF administrado versus VPS bare metal en el directorio y la comparación.
Preguntas frecuentes
¿Fail2ban bloquea los ataques DDoS?
No. Prohíbe las IP después de patrones en los registros, algo inútil contra volúmenes masivos o IP rotativas de baja velocidad.
¿Riesgo de autoprohibición?
Sí, si hay umbrales agresivos en HTTP o si su monitoreo de IP comparte el mismo contador. Enumere explícitamente rangos estables en ignoreip.
¿Qué cárceles mínimas?
sshd, nginx-http-auth, recurrencia: adáptese según los servicios expuestos. Evite cárceles genéricas en troncos ruidosos.
¿Alternativa más robusta?
Solo claves SSH, evitación de puertos, VPN/WireGuard, borde WAF, límite de velocidad de nginx: fail2ban es una capa adicional.
Si su plan de seguridad consiste en una cárcel sshd, vuelva a leer el área de superficie expuesta: fail2ban no la reduce.