Die Nacht der wilden Bots

Es war ein ruhiger Abend. Während Aidan, unser Golden Retriever, ausgestreckt auf dem Teppich im Wohnzimmer friedlich vor sich hin schnarchte, saß ich vor meinem ThinkPad T580. Eigentlich wollte ich nur kurz per SSH – natürlich sauber abgesichert mittels Public Key-Authentifizierung – auf meinen Server nach dem Rechten schauen.

Doch ein Blick in die Access-Log-files meines Nginx-Webservers für Eddys Sammelsurium unter https://bessin.mooo.com verhieß nichts gutes. Die Textzeilen rauschten in einem unnatürlichen Tempo über den Bildschirm. Eine regelrechte Horde wild gewordener Bots - aus Russland, wie ich später ermitteln konnte -  hatte die dunklen Ecken des Internets durchstreift und ausgerechnet an meiner digitalen Haustür einfach mal so Halt gemacht. Sie hämmerten auf nicht existierende Admin-Pfade ein, suchten blind nach irgendwelchen WordPress Schwachstellen und feuerten wahllos Login--Access-Versuche ab.

Für einen kurzen Moment zuckte mein Finger über der Tastatur, bereit im Terminal, in die Schlacht zu ziehen und manuell IP-Adressen zu blockieren. Doch dann lehnte ich mich entspannt zurück und beobachtete einfach das Schauspiel. Ich hatte schliesslich meinen persönlichen digitalen Türsteher im Einsatz.

Auftritt: Fail2Ban.

Wie ein stoischer Hüne im feinen Anzugm, stand Mister File2Ban am Eingang meines Servers und las aufmerksam alle Log-files mit.

• Der erste Kontakt: Ein Bot feuerte wild Requests ab. Fail2Ban zückte lautlos den Notizblock (die internen Filter).

• Die Warnung: Der Bot versuchte es im Sekundentakt weiter. Die Trefferquote für Fehlercodes schoss in die Höhe. 

• Der Rausschmiss: Die definierte Toleranzgrenze war erreicht. Zack!

Ich konnte im Terminal fast live mitverfolgen, wie Fail2Ban die Störenfriede gnadenlos am digitalen Kragen packte und sie eiskalt in sein "Jail" warf. Die Firewall wurde im Bruchteil einer Sekunde angewiesen, sämtlichen Traffic dieser hartnäckigen Russischen Adressen rigoros abzuweisen. Der ohrenbetäubende Lärm in den Log-Dateien wurde rasch dünner, bis er schließlich ganz versiegte.

Der Spuk war schlagartig vorbei. Der Türsteher hatte ordentlich aufgeräumt, ohne auch nur annähernd ins Schwitzen zu kommen, und der Blog war wieder sicher vor dem Rauschen der bots. Ich schloss zufrieden das Terminal auf dem T580, kraulte Aidan hinter den Ohren und wusste: Auf meinen Rausschmeißer ist immer Verlass.