Windows-Server mit CrowdSec IPS vor Cyberattacken schützen

Community-IPS CrowdSec installieren, einrichten und testen Windows-Server mit CrowdSec IPS vor Cyberattacken schützen

21.11.2023 Von Thomas Joos Lesedauer: 4 min |

Anbieter zum Thema

CrowdSec ist ein Community-getriebenes IPS, das über einen Agenten Computer schützen kann. Dadurch können Teilnehmer an der Community Angriffsmuster miteinander teilen und sich dadurch zuverlässiger verteidigen. Der Dienst funktioniert mit Firewalls zusammen, aber auch mit Linux und Windows.

Das Community Intrusion Prevention System CrowdSec schützt PCs und Server kostenlos vor Angriffen.
(Bild: putilov_denis - stock.adobe.com)

CrowdSec ist ein Community-IPS, bei dem die angebundenen Geräte, Firewalls und Server/Computer erkannte Angriffe dem System melden. Andere Teilnehmer bei CrowdSec können diese Angriffsmuster nutzen, um sich selbst zu schützen. Einfach ausgedrückt, sorgt CrowdSec dafür, dass bestimmte Angriffsmuster, IP-Adressen und andere Daten von Cyberattacken mit der Community geteilt werden. Ein bereits erkannter Angriff sorgt daher bei allen anderen Mitgliedern der Community sofort für Schutz, weil CrowdSec automatisiert eigene Firewall-Regeln erstellen kann. Im Gegenzug teilt jeder Teilnehmer die Angriffsinformationen mit dem Dienst. Vorbild der Technik ist Fail2Ban. Dabei sammeln Tools wie CrowdSec Signale von den Computern der Community ein und werten diese aus.

Bildergalerie

CrowdSec lässt sich auf Firewalls wie OPNsense einsetzen, um automatisiert Angreifer zu blockieren, die durch die Community erkannt wurden.

In OPNsense lässt sich auch ein Firewall-Bouncer von CrowdSec konfigurieren, der automatisiert Firewall-Regeln erstellt.

CrowdSec lässt sich neben Linux und FreeBSD auch auf Windows-Rechnern installieren.

Der CrowdSec-Windows-Firewall-Bouncer kann Regeln in der Windows-Firewall erstellen.

Bildergalerie mit 7 Bildern

CrowdSec schützt Netzwerke und Windows

CrowdSec lässt sich in Firewalls einbinden, wie zum Beispiel OPNsense. Durch die Teilnahme an der Community versorgt der Client auf der Firewall diese mit den notwendigen Aliasen über die IP-Adressen der Angriffe. Diese blockiert die Firewall in Zukunft. Schon alleine das sorgt für mehr Sicherheit im Netzwerk. Auf dem gleichen Weg kann CrowdSec auch in der Windows-Firewall Regeln automatisiert erstellen und Angreifer dadurch zuverlässig blockieren.

Auf dem gleichen Weg kann der Agent von CrowdSec auch auf Windows-Servern und Arbeitsstationen mit Windows 10/11 installiert werden, zum Beispiel einem Webserver, Dateiserver oder RDP-Host oder PCs von mobilen Anwendern. Die Installation auf Arbeitsstationen ist genauso einfach möglich, wie auf Windows-Servern. Die Einrichtung dabei ist weitgehend identisch.

Erkennt der Agent einen Angriff, lädt er die Daten über den Agenten zum Dienst hoch, sodass andere Teilnehmer der Community sofort geschützt sind. Auch hier erhält der Server/PC im Gegenzug Informationen von anderen Teilnehmern der Community, um sich selbst zu schützen. Dadurch lassen sich Webserver, RDP-Hosts, Datenbanken, Freigaben und andere Angriffe verhindern, bevor sie überhaupt erst beginnen. Es gibt schon länger CrowdSec-Agenten für Linux und FreeBSD. Von diesen profitieren Firewalls wie OPNsense. Mittlerweile gibt es auch einen Agenten für Windows-Systeme. Mit diesen können Admins PCs und Server vor Angriffen schützen.

CrowdSec in Windows installieren

Um einen Windows-Server oder Windows-PC mit CrowdSec zu schützen, ist auf dem Gerät zunächst der CrowdSec-Agent notwendig. Dieser steht für Windows als MSI-Datei zur Verfügung. Dazu kommt der Windows-Firewall-Bouncer. Dieser kann bei erkannten Angriffen die entsprechende IP-Adresse blockieren, indem er automatisch Firewall-Regeln in der Windows-Firewall erstellt. Dadurch kann CrowdSec Angriffe nicht nur erkennen und weitergeben, sondern auch gleich blockieren. Aus diesem Grund erfolgt zunächst die Installation des CrowdSec-Agenten in Verbindung mit dem Firewall-Bouncer. Der CrowdSec Windows-Firewall- Bouncer braucht das .NET -Framework 6. Ist das Framework nicht installiert, startet der Dienst nicht. Durch die Verwendung von „cs_windows_firewall_installer_bundle.exe“ installiert der Installationsassistent auch gleich das .NET Framework auf dem PC oder Server.

Im Rahmen der Installation sind keine Angaben notwendig, außer den Installationspfad. Agent und Bouncer sind in wenigen Sekunden installiert. Im Rahmen der Installation werden auch die beiden Systemdienste „Crowdsec“ und „Crowdsec Windows Firewall Bouncer“ installiert. Wichtig ist, dass beide Systemdienste vorhanden und gestartet sind.

Bildergalerie

Bildergalerie mit 7 Bildern

CrowdSec einrichten und testen

Die weitere Einrichtung findet in der Befehlszeile statt. Mit „cscli metrics“ sollte eine Ausgabe der vorhandenen Metriken und Komponenten erfolgen. Nach einiger Zeit sind hier auch die Angriffe zu sehen, die Crowdsec kennt und blockieren kann. Wichtig ist, dass an dieser Stelle keine Fehlermeldungen erscheinen.

Der Windows-Firewall-Bouncer wird standardmäßig im Verzeichnis „C:\Program Files\CrowdSec\bouncers\cs-windows-firewall-bouncer” installiert. Hier ist noch eine YAML-Datei notwendig, mit der Crowdsec konfiguriert wird. Die Datei trägt die Bezeichnung „cs-windows-firewall-bouncer.yaml“. Die Konfiguration dieser Datei ist in der Online-Doku des Windows-Firewall-Bouncers zu finden. Eine Beispiel-Konfiguration der Datei sieht zum Beispiel folgendermaßen aus:

api_key: <your-api-key>api_url: http://127.0.0.1:8080log_level: infoupdate_frequency: 10slog_media: filelog_dir: C:\\ProgramData\\CrowdSec\\log\\fw_profiles:- domain- private-public

Wichtig ist an dieser Stelle der Wert von „api_key“ und die Angabe des Firewall-Profiles, indem Crowdsec die erhaltenen Angriffsdaten für das Blockieren der Angreifer nutzen soll. Neben „-domain“ sind hier noch „-private“ und „-public“ möglich. Auch die Angabe aller drei Profile ist hier denkbar. Um einen API-Key zu erstellen, kann ebenfalls die Befehlszeile genutzt werden, mit folgendem Befehl:

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Stand vom 30.10.2020

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

cscli bouncers add firewall

Der Befehl erstellt den API-Key und zeigt ihn im Fenster an. Der Key muss danach bei „api_key:“ eingetragen werden. Nach dem Speichern der Datei müssen beide Crowdsec-Dienste neu gestartet werden.

Automatisch erstellte Firewall-Regeln überprüfen

Nach kurzer Zeit sollte der Bouncer die Firewall-Regeln auf Basis der Crowdsec-Daten erstellt haben. Das lässt sich in der Verwaltung der Windows-Firewall mit „wf.msc“ bei „Eingehende Regeln“ überprüfen. Hier sind zahlreiche neue Regeln mit der Bezeichnung „crowdsec-blocklist“ zu finden.

(ID:49777379)

Merkliste