甲方安全建设- 利用crowdsec做IPS初体验

文章预览

前言 看到一个仓库（https://github.com/crowdsecurity/crowdsec），提到是一个检测引擎，并且配合威胁情报可以发现攻击行为，甚至还可以对攻击IP进行自动化封禁，因此尝试对该工具进行搭建测试。 搭建 根据文档https://doc.crowdsec.net/docs/getting_started/install_crowdsec安装很简单，先添加存储库然后安装即可： `` ` curl -s https://install.crowdsec.net | sudo sh dnf install crowdsec ` `` 然后到https://app.crowdsec.net/security-engines?enroll-engine=true 注册saas账号、注册agent： `` ` cscli console enroll -e context cm03xxxxxxx ` `` 这里一定要在控制台上点接受有点繁琐。 点完接受还得重启服务： `` ` systemctl restart crowdsec ` `` 最后就可以在https://app.crowdsec.net/security-engines控制台上看到检测日志了： 控制台还是挺好看的，可以看到top攻击ip、top攻击手段： HUB里面有几个名词，我尝试理解了下： `` ` collections:采集 ………………………………