CrowdSec: защита публичного VPS по логам

Безопасность · Хост

Не изучено

Добавлено 2026-10-29.

Проблема

В логах Nginx и sshd постоянно идут перебор паролей и сканирование путей. Читать их руками некому, а fail2ban-правила устаревают.

Решение

Поставить CrowdSec: он разбирает логи, распознаёт сценарии атак и передаёт решения о блокировке bouncer'у — на firewall или в Nginx. Обнаружение и блокировка разделены, поэтому начать можно с одного наблюдения.

Пример

/etc/crowdsec/acquis.yaml — какие логи читать:

filenames:
  - /var/log/nginx/*.log
labels:
  type: nginx
---
filenames:
  - /var/log/auth.log
labels:
  type: syslog

cscli collections install crowdsecurity/nginx
cscli allowlists create admins -d "свои адреса"
cscli allowlists add admins 203.0.113.10 -d "рабочий IP"
cscli alerts list          # неделю смотреть, что обнаружено
cscli decisions list       # какие блокировки были бы выданы

Блокировку включать только после проверки allowlist: bouncer — отдельный пакет со своим обновлением. По умолчанию CrowdSec обменивается сигналами с центральным API ради общего списка блокировок — решить, согласны ли вы на это.

Когда применять

На любом сервере с публичными портами.

Источник

• crowdsecurity/crowdsec
• Команды allowlists
• Формат acquis.yaml

Как применить у себя

1. Установить без bouncer, подключить логи Nginx и sshd.
2. Добавить свои адреса в allowlist.
3. Неделю смотреть cscli alerts list, затем включить firewall-bouncer.
4. Отметить «Изучено», когда блокировки работают и ни разу не задели свой IP.