Fiche : Bloquer les attaques avec CrowdSec

À retenir

• L'agent CrowdSec lit les journaux et décide ; le bouncer applique les blocages.
• Sans bouncer, rien n'est bloqué : sudo cscli bouncers list pour vérifier.
• sudo cscli decisions list / add --ip … --duration … / delete --ip ….
• Une liste blanche évite de se bannir soi-même.
• Les collections disent quoi surveiller : linux, sshd, nginx, caddy…

Mémo

sudo apt install crowdsec crowdsec-firewall-bouncer-iptables
sudo cscli bouncers list
sudo cscli collections install crowdsecurity/nginx
sudo cscli decisions list
sudo cscli decisions add --ip 192.0.2.66 --duration 24h --reason "scan"
sudo cscli decisions delete --ip 192.0.2.66
sudo cscli allowlists create perso -d "Mes adresses"
sudo cscli allowlists add perso 198.51.100.10

Pièges à éviter

• Installer l'agent sans le bouncer : les attaques sont vues, mais pas bloquées.
• Oublier sa propre adresse dans la liste blanche, et se bannir à la première faute de frappe.
• Installer une collection sans recharger CrowdSec (sudo systemctl reload crowdsec).

Revoir la leçon et ses exercices