CrowdSec: WAF Inteligente para VPS Linux

CrowdSec representa uma evolução significativa na segurança de servidores Linux, migrando de ferramentas estáticas baseadas em regras individuais para um sistema dinâmico e colaborativo. Para administradores de sistemas que gerenciam VPS Linux, a implementação do CrowdSec oferece uma camada de inteligência coletiva capaz de identificar e bloquear ameaças em tempo real, complementando ou substituindo soluções tradicionais como Fail2ban.

Este tutorial aborda a instalação, configuração e integração do CrowdSec com o firewall nativo do Linux (UFW/Iptables) e outras ferramentas de segurança essenciais, como chaves SSH e auditoria de logs. O objetivo é fornecer um ambiente robusto, capaz de mitigar ataques de força bruta, scans de portas e tentativas de exploração de vulnerabilidades web.

1. Conceitos Fundamentais e Arquitetura

Diferente do Fail2ban, que opera localmente analisando logs em tempo real com listas negras estáticas, o CrowdSec utiliza um motor de cenários comportamentais. Ele analisa os logs do sistema (syslog, auth.log, access.log) e envia indicadores de comprometimento para uma nuvem central. Em troca, recebe novas regras de bloqueio baseadas nos ataques observados globalmente por outros usuários da plataforma.

A arquitetura do CrowdSec depende de dois componentes principais:

• CrowdSec (cs): O daemon que roda no servidor, monitora logs e toma decisões de banimento.
• Bouncers: Agentes que traduzem as decisões do CrowdSec para o firewall do sistema. Para Linux, utilizaremos o bouncer iptables ou a integração direta com o UFW.

Antes de iniciar a instalação, certifique-se de ter acesso root ou sudo ao seu servidor e que os logs estejam sendo coletados corretamente pelo sistema.

2. Preparação do Ambiente: Hardening Prévio

A segurança é uma camada sobre outra. Antes de instalar o CrowdSec, é crucial garantir que os serviços básicos estejam protegidos. Isso inclui a proteção contra acesso não autorizado via SSH e a desativação de práticas inseguras.

2.1. Proteção do SSH com Chaves

O SSH é o alvo primário de ataques de força bruta. A melhor prática é desabilitar a autenticação por senha e utilizar exclusivamente SSH keys.

1. Gere suas chaves localmente (se ainda não tiver):

ssh-keygen -t ed25519 -C "seu_email@exemplo.com"

2. Configure o servidor para aceitar apenas chaves.

sudo nano /etc/ssh/sshd_config

Altere as seguintes linhas:

PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no

Reinicie o serviço SSH para aplicar as mudanças:

sudo systemctl restart sshd

Nota: A configuração PermitRootLogin no é fundamental. O CrowdSec pode detectar tentativas de login como root, mas prevenir esse acesso diretamente reduz a superfície de ataque.

2.2. Configuração do Firewall UFW

O UFW (Uncomplicated Firewall) deve estar ativo antes da instalação do CrowdSec para evitar que o bouncer cause conflitos ou bloqueie seu acesso administrativo durante a configuração inicial.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
sudo ufw enable

Verifique o status:

sudo ufw status

3. Instalação do CrowdSec no Linux

A instalação do CrowdSec é feita através de um script oficial ou repositório dedicado, garantindo a versão mais recente e compatível com a distribuição utilizada (Debian/Ubuntu, RHEL/CentOS).

1. Instale as dependências necessárias:

sudo apt-get update
sudo apt-get install -y curl wget gnupg

2. Adicione a chave GPG e o repositório oficial. Para sistemas baseados em Debian/Ubuntu:

curl https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

3. Instale o pacote principal e os plugins de coleta de logs essenciais:

sudo apt-get install crowdsec libcrowdsec0-l10-crowdsecurity-linux-config

O pacote libcrowdsec0-l10-crowdsecurity-linux-config é crucial, pois instala os parsers e cenários específicos para interpretar logs do Linux (autenticação, systemd, etc.).

4. Inicie o serviço e verifique seu status:

sudo systemctl enable --now crowdsec
sudo cs status

A saída deve indicar que o daemon está ativo e executando. O CrowdSec começa a monitorar os logs imediatamente após a instalação.

4. Integração com o Firewall (Bouncers)

O CrowdSec precisa de um meio de comunicar as decisões de bloqueio ao kernel do Linux. Para usuários de UFW, a integração pode ser feita de duas formas: diretamente via iptables ou através de um bouncer dedicado.

4.1. Instalação do Bouncer UFW/Iptables

O método mais eficiente para VPS Linux é instalar o bouncer que interage com o iptables, já que o UFW é apenas uma interface amigável para o iptables/nftables.

sudo apt-get install crowdsec-firewall-bouncer-iptables

Este pacote cria um serviço separado chamado crowdsec-firewall-bouncer. Ele lê as decisões do CrowdSec e adiciona regras de iptables correspondentes para bloquear os IPs maliciosos.

1. Habilite o bouncer:

sudo systemctl enable --now crowdsec-firewall-bouncer

2. Verifique se as regras de firewall foram criadas:

sudo iptables -L INPUT -n | grep crowdsec

Se você vir linhas listando IPs ou sub-redes sob a chain CROWDSEC, a integração está funcionando. O CrowdSec agora bloqueia automaticamente IPs que tentam explorar vulnerabilidades.

4.2. Teste de Funcionamento

Para validar o funcionamento, tente fazer várias tentativas de login SSH falhas (sem usar sua chave correta ou usando uma senha errada). Em seguida, verifique os logs:

sudo cs show decisions

Você deve ver seu próprio IP listado como banido. Para desbanir e continuar o teste sem se bloquear permanentemente, use:

sudo cs decision delete -t ip --ip 127.0.0.1

5. Aprimoramentos de Segurança Avançada

Com o CrowdSec ativo, podemos adicionar camadas extras de defesa que complementam a mitigação automatizada.

5.1. Port Knocking

O port knocking é uma técnica de segurança onde portas fechadas são "abertas" apenas após uma sequência específica de tentativas de conexão (knocks) em outras portas. Isso torna o servidor invisível para scanners comuns.

Embora o CrowdSec possa detectar scans, o port knocking adiciona uma camada de obscuridade. A configuração geralmente é feita via iptables ou ferramentas como tkn.

# Exemplo conceitual de regra iptables para port knocking
sudo iptables -A INPUT -p tcp --dport 7000 -m recent --set --name KNOCK1
sudo iptables -A INPUT -p tcp --dport 8000 -m recent --update --seconds 60 --hitcount 1 --name KNOCK1 -j DROP
# ... sequência contínua até liberar a porta SSH

Nota: Esta técnica pode ser complexa de manter e não substitui o CrowdSec, mas atua como uma defesa passiva adicional contra bots genéricos.

5.2. Auditoria com Auditd

O auditd é um daemon do kernel que registra eventos específicos do sistema. Embora o CrowdScen analise logs padrão (syslog), o auditd permite monitorar acessos a arquivos sensíveis e chamadas de sistema críticas.

1. Instale o auditd:

sudo apt-get install auditd

2. Configure regras para monitorar alterações em arquivos de configuração do SSH:

sudo auditctl -w /etc/ssh/sshd_config -p wa -k ssh_config_changes

O CrowdSec pode ser configurado para ler logs do auditd se necessário, mas o principal benefício aqui é a conformidade e o rastreamento forense em caso de violação.

6. Monitoramento e Manutenção Contínua

A segurança não é um estado estático. O CrowdSec requer monitoramento regular para garantir que as regras estão sendo aplicadas e que falsos positivos não estejam bloqueando usuários legítimos.

6.1. Visualização de Decisões

Use o comando cs show decisions para listar todos os IPs banidos atualmente. Para ver o histórico recente:

sudo journalctl -u crowdsec -f

Isso permite que você identifique picos de ataques e ajuste as configurações se necessário.

6.2. Atualização de Parsers e Cenários

O CrowdSec atualiza seus cenários (scripts L100/L101) automaticamente via API. No entanto, é recomendável verificar periodicamente se há novas versões disponíveis:

sudo cs hub update

Isso garante que seu servidor esteja protegido contra as últimas variantes de ataques conhecidos.

7. Conclusão e Boas Práticas

A implementação do CrowdSec em um VPS Linux transforma a postura de segurança de reativa para proativa. Ao combinar o monitoramento comportamental com ferramentas como UFW, chaves SSH robustas e auditoria via auditd, você cria um ambiente resiliente contra uma ampla gama de ameaças, desde bots simples até ataques coordenados.

Recapitulando as melhores práticas deste tutorial:

• Sempre proteja o SSH com chaves e desabilite o login root.
• Utilize o bouncer correto para sua stack de firewall (iptables/UFW).
• Mantenha os parsers do hub atualizados para enfrentar novas táticas de ataque.
• Monitore os logs regularmente para ajustar regras de exceção se necessário.

Lembre-se: nenhuma ferramenta é infalível. O CrowdSec é uma peça poderosa no quebra-cabeça da segurança, mas deve ser parte de uma estratégia mais ampla que inclui backups regulares, patches do sistema operacional e monitoramento de integridade de arquivos. Com essa configuração, seu servidor estará preparado para lidar com a complexidade do cenário atual de cibersegurança, oferecendo mitigação DDoS básica contra floods e proteção sólida contra acessos não autorizados.

Para mais informações detalhadas sobre cenários específicos ou integração com aplicações web (Apache/Nginx), consulte a documentação oficial do projeto CrowdSec, adaptando os exemplos para a realidade de sua infraestrutura Linux.