Привет! Сегодня хочу рассказать про инструмент, который реально помогает спать спокойнее, когда у вас куча VPS торчит в интернет.
Что это вообще такое?
CrowdSec - это открытая система защиты от атак, работающая по принципу "один за всех". Представьте: кто-то брутит SSH на сервере в Токио, информация об атакующем IP попадает в общую базу, и ваш сервер в Москве уже знает, что этот адрес нужно блокировать. Круто, да?
Почему я это использую:
Легковесность - агент жрёт ~50MB RAM, не то что fail2ban с его аппетитами
Умные парсеры - из коробки понимает логи nginx, SSH, MySQL и ещё кучи сервисов
Общая threat intelligence - миллионы серверов делятся данными об атаках в реальном времени
Гибкие bouncers - блокируешь на уровне iptables, nginx, cloudflare - как удобно:)
Базовый сетап за 5 минут:
curl -s https://install.crowdsec.net | sudo sh
sudo cscli bouncers add firewall-bouncer
sudo apt install crowdsec-firewall-bouncer-iptables
Добавляешь коллекции под свои сервисы:
sudo cscli collections install crowdsecurity/nginx
sudo cscli collections install crowdsecurity/sshd
И всё — у вас уже работает защита, которая учится на опыте всего комьюнити.
Из практики:
Только что накатил на свои 4 VPS . За первые сутки:
SpaceCore поймал уже 334 алерта:(
WaiCore - 135 попыток
BlackMore и Veesp - 18 и 13 соответственно
Все эти IP автоматически попали в блокировку. И это только за день! Представьте, сколько мусорного трафика раньше долетало до сервисов.
Веб-интерфейс для мониторинга:
У CrowdSec есть вариант визуализации:
CrowdSec Console (app.crowdsec.net) - регистрируешь аккаунт, энроллишь свои инстансы через cscli console enroll, и получаешь красивый дашборд со всеми серверами в одном месте. Бесплатно для небольших инсталляций. Удобно мониторить все VPS с телефона, не нужно ничего поднимать и поддерживать. Плюс получаешь аналитику по типам атак и географии атакующих.
Метрики и алерты:
CrowdSec экспортирует метрики в Prometheus из коробки. У меня стоит алерт на аномальный рост заблокированных IP - если вдруг начинается что-то серьёзное, я узнаю об этом сразу.
Если у вас есть VPS, на которых что-то крутится, поставьте CrowdSec. Это не панацея, но отличный дополнительный слой защиты, который работает на опыте миллионов других серверов.
UPD: Оказывается в их cloud-вебморде лимит на 500, а значит я свои 500 уже получил и новые не увижу, но метрика в prometheus работает корректно и показывает как дела :)