Angeregt durch diesen Thread habe ich mich dazu entschieden Crowdsec selbst mal auszuprobieren.
Habe damit auch schon länger geliebäugelt und auch wenn Fail2ban prinzipiell funktioniert, ist es gefühlt doch schon ein bisschen in die Jahre gekommen. Darüber hinaus hat man diese nervigen Python-Abhängigkeiten, die bei Crowdsec entfallen. Crowdsec kann man daher auch auf älteren Server-OS z.B. CentOS 6, oder 7 laufen lassen.
Also Installation ist prinzipiell erst einmal easy, je nach Bedarf muss man natürlich noch Anpassungen bei den Whitelists, Log-Dateien die geparst werden sollen, oder der Szenarios vornehmen. Zum Beispiel hat das Szenario "crowdsecurity/http-admin-interface-probing" false-positives bei uns verursacht.
Ansonsten ist es schon recht praktisch die Bans inspizieren zu können. Ein Exporter für Prometheus ist dabei und es gibt da noch die API, die ich aber noch nicht ausprobiert habe. Und das Install-Script erkennt gleich die laufenden Dienste und installiert automatisch die dafür anwendbaren Parser/Szenarios. Momentan läuft Crowdsec noch autark auf den einzelnen Servern.
Wazuh (OSSEC Fork) wäre wohl noch eine Alternative zu Crowdsec, wobei Wazuh selbst deutlich mächtiger ist und noch weitere Funktionen hat, als Crowdsec. Crowdsec würde ich vom Funktionsumfang zwischen Fail2ban und Wazuh verordnen.
Ersteindruck ist bislang sehr gut. Muss mich damit aber noch weiter beschäftigen
