Niveau 4 · Réagir
Bannir les adresses qui insistent, regarder d'où vient l'attaque, et savoir couper le blocage en urgence si un faux positif touche la production. Pour un problème en cours sur votre site, allez directement à Que faire si….
4.1 Bannir avec Fail2Ban
- Comprendre la réputation d'une IP.
- Bannir et débannir à la main.
- Adapter un profil de bannissement.
En mode Bannir, chaque blocage ajoute des points à l'IP, sur une fenêtre glissante : critique 25, erreur 10, avertissement 5, notice 2. Quand le total dépasse un seuil du profil, Fail2Ban bannit l'IP pour 10 minutes, 6 heures ou 24 heures.
Un permis à points à l'envers : chaque blocage ajoute des points à l'adresse, et au-delà d'un seuil, elle est mise à l'écart pour un temps. Plus elle insiste, plus l'écart dure.
Fail2Ban. Les quatre prisons waf-ban-10m, waf-ban-6h, waf-ban-24h et waf-ban-perm (manuelle, sans expiration).
- Pour bannir tout de suite : Bannir une IP, choisissez la prison et donnez une raison. L'effet est immédiat sur tous les nœuds.
- Pour lever un bannissement : onglet Réputation ou Historique des bannissements, bouton Débannir.
- Pour changer les seuils : Profils de bannissement, puis affectez le profil au site dans sa fiche.
Profils de bannissement. Seuils par durée, barème par sévérité, fenêtre d'observation et bannissements progressifs.
Transmettez à Kokiris les IP fixes de votre équipe (bureau, VPN) avant le passage en Bannir : elles seront exemptées du bannissement. Sinon, un test un peu insistant peut vous bannir de votre propre site.
4.2 Voir d'où viennent les attaques
Le Radar des menaces place les attaques sur une carte et classe les pays et continents les plus actifs. Le bouton Bloquer crée directement une règle géographique globale pour un pays.
Radar des menaces. Utile pour repérer une campagne venant d'une même région.
Avant de bloquer un pays entier, créez la règle en « Détection seule » et vérifiez dans les journaux que vous ne perdez pas de vrais clients.
4.3 L'arrêt d'urgence
- Savoir quand utiliser l'arrêt d'urgence et comment revenir à la normale.
Le bouton Arrêt d'urgence sert quand un blocage à tort touche la production et que vous n'avez pas encore trouvé la règle en cause.
- Il mémorise le mode de chaque site, puis passe tous les sites en Détecter et suspend les bannissements.
- Il s'applique immédiatement, sans passer par le bouton Appliquer.
- Le trafic continue de passer et tout reste journalisé : vous pouvez chercher la cause dans les journaux.
- Pendant l'arrêt, un bandeau rouge s'affiche, et le bouton devient ACTIVER WAF. Un clic remet chaque site dans son mode d'origine.
Après un arrêt d'urgence, faut-il repasser chaque site en mode Bloquer à la main ?
- Comprendre la réputation d'une adresse et les quatre prisons.
- Bannir et débannir à la main, et adapter un profil de bannissement.
- Repérer une campagne sur le radar des menaces.
- Utiliser l'arrêt d'urgence et revenir à la normale.