CrowdSec nedir?
CrowdSec, günlükleri analiz ederek saldırgan davranışları tespit eden ve saldırgan IP adreslerini engelleyen açık kaynaklı bir güvenlik aracıdır. Fail2ban benzeri bir mantıkla çalışır, ancak ek olarak kullanıcıların paylaştığı IP itibar bilgisini topluluk verisi olarak kullanır.
Araç iki parçadan oluşur: tespit yapan ve karar üreten motor ile bu kararları uygulayan “bouncer” bileşenleri. Bu ayrım, engelleme işleminin güvenlik duvarında, web sunucusunda ya da başka bir katmanda yapılmasına izin verir.
Nasıl çalışır?
Motor, Nginx, Apache, SSH gibi hizmetlerin günlüklerini okur ve senaryolar (scenarios) aracılığıyla kaba kuvvet, tarama, kötü niyetli botlar gibi davranışları tanır. Tespit edilen saldırgan için bir karar (örneğin engelleme) oluşturulur. Bouncer bu kararı uygular.
Topluluk modeli şöyle işler: katılımcılar kendi sunucularında gördükleri saldırgan IP adreslerini anonimleştirilmiş sinyal olarak paylaşır, karşılığında başkalarının tespit ettiği adreslerden oluşan bir engel listesi alır. Bu sayede sunucunuza daha ilk istekte gelen bilinen saldırganlar önceden engellenebilir.
Sunucu ve hosting ortamında
Linux sunucuda motoru kurup cscli komut satırı aracıyla yönetirsiniz. Güvenlik duvarı bouncer’ı iptables ya da nftables kuralı ekler; Nginx veya Apache için ayrı bouncer’lar HTTP seviyesinde de engelleme yapabilir. Hazır “koleksiyonlar” ilgili hizmetlerin ayrıştırıcılarını ve senaryolarını bir arada getirir.
Hosting ortamında kendi sunucusunu yöneten kullanıcılar için SSH, web ve e-posta servislerini tek bir araçla izlemek pratiktir. Kurulumdan sonra hangi günlük dosyalarının izlendiğini ve karar listesini düzenli kontrol etmek gerekir.
Nasıl uygulanır?
- Hizmetlerinize uygun koleksiyonları kurun (örneğin SSH ve web sunucusu)
- Doğru günlük dosyası yollarını yapılandırmada tanımlayın
- Mutlaka bir bouncer kurun; yalnızca motor tek başına engelleme yapmaz
- Kendi yönetim IP adreslerinizi beyaz listeye ekleyin
- Kararları
cscli decisions listkomutuyla düzenli inceleyin - Topluluk katılımının veri paylaşımı etkisini ve gizlilik politikanızı gözden geçirin
Sık yapılan hatalar
- Yalnızca motoru kurup bouncer eklemeyi unutmak
- Günlük yolunu yanlış tanımlayıp hiç olay görmemek
- Fail2ban ile aynı anda çalıştırıp çift engelleme yaratmak
- Ters vekil arkasında gerçek IP adresini doğru yapılandırmamak
Sık sorulan sorular
CrowdSec ne işe yarar?
Sunucu günlüklerini inceleyerek saldırgan davranışları algılar ve bu IP adreslerini engeller. Ayrıca topluluk tarafından paylaşılan itibar listesinden yararlanarak bilinen saldırganları önceden bloklayabilir.
CrowdSec ile Fail2ban arasındaki fark nedir?
Fail2ban yalnızca yerel günlüklerden karar verir. CrowdSec ise yerel tespite ek olarak topluluk verisi kullanır ve motor ile uygulayıcı bileşenleri birbirinden ayırarak daha esnek bir mimari sunar.
CrowdSec ücretsiz midir?
Çekirdek aracı açık kaynaklıdır ve ücretsiz olarak kullanılabilir. Bazı ek hizmetler veya gelişmiş listeler ayrı koşullarla sunulabilir; güncel kapsamı resmî kaynaktan kontrol etmek gerekir.
İlgili terimler
- CSP (İçerik güvenliği politikası)Sayfanın hangi kaynaklardan betik, stil ve görsel yükleyebileceğini sınırlayan başlık.
- Derinlemesine savunma (defense in depth)Tek bir korumaya güvenmek yerine birbirini tamamlayan birden çok güvenlik katmanını üst üste kullanma yaklaşımı.
- Dosya bütünlüğü izleme (FIM)Kritik dosyaların yetkisiz değişikliklerini özet değerleriyle karşılaştırarak tespit eden güvenlik kontrolü.
- En az yetki ilkesiHer kullanıcı ve sürecin yalnızca işi için gereken yetkiye sahip olması.
- Fail2banGünlüklerdeki başarısız giriş denemelerini görüp ilgili IP’yi geçici engelleyen araç.
- Güvenlik bülteni (advisory)Üreticinin bir açığı, etkilenen sürümleri ve çözümü duyurduğu resmi bildirim.