Como bloquear ataques de força bruta no SSH com Fail2Ban

Aprenda passo a passo como configurar o Fail2Ban no Linux para automatizar o bloqueio de endereços IP maliciosos em tentativas de invasão ao servidor SSH.

Marcio Cunha•4 min

Também disponível em:English Español

Resumo

O Fail2Ban monitora logs do sistema operacional em busca de falhas repetidas de autenticação para identificar invasores.
As regras personalizadas de jail permitem definir limites rígidos de tentativas antes de isolar o endereço na rede.
A integração direta com o firewall do sistema garante que o tráfego hostil seja descartado de forma imediata.
O uso de ferramentas de automação de segurança reduz drasticamente a carga operacional em ambientes expostos na internet.
O monitoramento contínuo dos arquivos de log valida se as políticas de defesa estão funcionando conforme o esperado.

Por que o seu servidor SSH na internet atrai tantas invasões

Manter um servidor conectado à internet é como deixar a porta da frente de uma casa aberta em uma rua movimentada. Em poucos minutos após colocar uma máquina virtual ou servidor dedicado no ar, robôs automatizados do mundo inteiro começam a disparar senhas aleatórias contra a porta de acesso remoto, um processo conhecido tecnicamente como ataque de força bruta. Na prática, isso significa que softwares maliciosos testam milhares de combinações por minuto para tentar adivinhar credenciais fracas. Para mitigar esse risco e proteger sua infraestrutura, você pode expandir suas defesas aplicando técnicas semelhantes às discutidas em nosso guia sobre como bloquear conexões suspeitas no Linux com iptables e fail2ban, criando uma barreira intransponível contra robôs invasores.

O que é o Fail2Ban e como ele protege o seu sistema

O Fail2Ban é um software de segurança escrito em Python que atua como um vigilante incansável para o seu sistema operacional. Ele analisa os arquivos de registro do sistema, conhecidos como arquivos de log, procurando por padrões repetidos de erro, como falhas consecutivas de login na porta de acesso remoto. Quando um endereço IP ultrapassa o limite tolerado de falhas configuradas pelo administrador, o programa adiciona uma regra dinâmica no firewall do sistema para barrar qualquer nova tentativa daquele endereço. Para compreender melhor a origem desses eventos, vale a pena acompanhar como ler o syslog do Linux no terminal em tempo real, facilitando a identificação de comportamentos suspeitos antes mesmo que causem danos.

Passo a passo para instalar e configurar o Fail2Ban no Linux

A instalação do pacote é simples na maioria das distribuições Linux baseadas em Debian ou Ubuntu, exigindo apenas comandos rápidos no terminal do sistema. Antes de alterar qualquer configuração original fornecida pelo desenvolvedor, é fundamental copiar o arquivo padrão para uma versão personalizada, evitando que suas alterações sejam perdidas em futuras atualizações do pacote. Siga as instruções abaixo para realizar a instalação e a configuração inicial:

Atualize a lista de pacotes locais digitando no terminal:
```
sudo apt update
```
Instale o pacote do vigilante de segurança com o comando:
```
sudo apt install fail2ban -y
```
Crie uma cópia de segurança do arquivo de configuração padrão executando:
```
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
```

Criando regras personalizadas para o serviço SSH

Com o arquivo de configuração local devidamente criado, o próximo passo consiste em ajustar os parâmetros específicos para o canal de acesso remoto. Abra o arquivo recém-criado em um editor de texto de sua preferência para definir o tempo de banimento e a quantidade permitida de erros. No bloco correspondente ao serviço de acesso remoto, você deve ativar a diretiva de monitoramento alterando o parâmetro de desativado para ativado. Além disso, estabelecer uma janela de tempo adequada para contagem dos erros impede que usuários legítimos sejam bloqueados acidentalmente após esquecerem a senha uma ou duas vezes.

Testando e validando as políticas de segurança ativas

Após salvar as alterações no arquivo de configuração, é fundamental reiniciar o serviço de segurança para que o sistema carregue as novas regras aplicadas. O comando de reinicialização deve ser executado com privilégios administrativos no terminal, seguido por uma verificação do status para garantir que o monitoramento está ativo sem erros. Você também pode simular uma falha intencional de login a partir de outra máquina para verificar se o endereço IP correspondente é adicionado corretamente à lista de bloqueios do firewall. Essa verificação prática assegura que o sistema responderá adequadamente quando uma ameaça real tentar invadir o ambiente corporativo ou pessoal. Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Como testar o fusível térmico da fonte com multímetro.

Considerações finais sobre a segurança em acessos remotos

Automatizar a defesa de servidores utilizando ferramentas de monitoramento e bloqueio dinâmico é um requisito básico para qualquer administrador de sistemas moderno. Embora o bloqueio de endereços IP maliciosos reduza significativamente os riscos de invasão por força bruta, combinar essas estratégias com o uso de chaves criptográficas e a desativação de logins por senha direta eleva a segurança a outro patamar. Mantenha seus pacotes sempre atualizados, monitore os registros com frequência e adote uma postura preventiva para garantir a integridade absoluta dos seus ambientes computacionais.