wiki.iridonia.fr [PPJ]

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
==== Installation du repo crowdsec ====

<code>
apt install debian-archive-keyring
apt install -y curl gnupg apt-transport-https
mkdir -p /etc/apt/keyrings
curl -fsSL https://packagecloud.io/crowdsec/crowdsec/gpgkey | gpg --dearmor > /etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg

vi /etc/apt/sources.list.d/crowdsec_crowdsec.list

Ajouter:
deb [signed-by=/etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg] https://packagecloud.io/crowdsec/crowdsec/any any main
deb-src [signed-by=/etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg] https://packagecloud.io/crowdsec/crowdsec/any any main

</code>

==== Installation de crowdsec ====
<code>
apt update
apt-get install crowdsec
</code>

==== Installation du bouncer ====
<code>
#Si iptables est utilisé.
apt-get install crowdsec-firewall-bouncer-iptables

#Si nftables est utilisé.
apt-get install crowdsec-firewall-bouncer-nftables
 
</code>

==== Check de l'installation ====
<code>
cscli machines list
cscli bouncers list
</code>

==== Surveillance sshd en journalcfg ====
Editer /etc/crowdsec/acquis.d/sshd.yaml
et relancer le service systemctl restart crowdsec.service
<code>
journalctl_filter:
  - _SYSTEMD_UNIT=ssh.service
labels:
  type: sshd
source: journalctl
</code>

==== Vérifier que la log est parsée ====
<code>
cscli metrics

# On doit retrouver un tableau Acquisition Metrics ,
 avec une ligne journalctl:journalctl-_SYSTEMD_UNIT=ssh.service,
Lines read, Lines parsed,Lines unparsed,Lines poured to bucket,
Lines whitelisted

#Attention à Lines unparsed

</code>

==== Vérifier la connection au CAPI (central API de crowdsec) ===
<code>
cscli capi status
Loaded credentials from /etc/crowdsec/online_api_credentials.yaml
Trying to authenticate with username [ID] on https://api.crowdsec.net/
You can successfully interact with Central API (CAPI)
Sharing signals is enabled
Pulling community blocklist is enabled
Pulling blocklists from the console is enabled

</code>

==== Ajouter des collections pour le parsing ===

<code>
cscli collections install crowdsecurity/sshd 
cscli collections install crowdsecurity/linux
cscli collections install crowdsecurity/whitelist-good-actors
</code>


==== Ajouter d'autres serveurs et centraliser les alertes ====

  * Création d'un compte de machine

<code>
cscli machines add mon-nouveau-serveur --auto -f -
Machine 'mon-nouveau-serveur' successfully added to the local API.
url: http://0.0.0.0:8080
login: mon-nouveau-serveur
password: [la clef]
</code>

  * Création d'un bouncer

<code>
cscli bouncers add bouncer-mon-nouveau-serveur
PI key for 'bouncer-mon-nouveau-serveur':
[la clef]
</code>

==== Installer crowdsec et son bouncer sur le nouveau serveur ====
Reprendre l'installation des packages comme vu plus haut.

=== Ajouter les clef api pour la nouvelle machine ===

Editer: /etc/crowdsec/local_api_credentials.yaml

<code>
url: http://[ip du serveur central]:8080
login: mon-nouveau-serveur
password: [la clef machine]
</code>


Editer: /etc/crowdsec/bouncers/crowdsec-firewall-bouncer.yaml

<code>
api_url: http://[ip du serveur central]:8080/
api_key: [la clef bouncer]
</code>

Relancer le service crowdsec et le bouncer.
<code>
systemctl restart crowdsec
systemctl restart crowdsec-firewall-bouncer
</code>

=== Installer les parsers selon les services à surveiller ===

Par exemple:
<code>
cscli collections install crowdsecurity/sshd 
cscli collections install crowdsecurity/linux

#on restart crowdsec
systemctl restart crowdsec
</code>

=== Voir si des décisions on été prises ===

Affiche les ip qui sont ban , et d'autres informations

<code>
cscli decisions list
</code>