【2026年】Fail2ban SSH保護ガイド｜ブルートフォース攻撃対策の定番

# Debian/Ubuntu での標準的なインストール手順例
sudo apt update
sudo apt install fail2ban -y

# インストール後のバージョン確認
fail2ban-client --version

# サービスの状態確認（systemd 環境）
sudo systemctl status fail2ban

# 自動起動有効化
sudo systemctl enable fail2ban

インストールが完了すると、ログファイルは通常 /var/log/fail2ban.log に保存されます。しかし、各サービスのログ（SSH や Apache など）とは異なる場所に保管されるため、管理者は Fail2ban の挙動を監視する専用ログの確認習慣も同時に身につける必要があります。エラーログが出ている場合でも、サーバー自体が落ちるわけではないため、初期設定段階では特に注意深く動作を確認してください。

SSH 保護のための jail.local 設定详解

Fail2ban の最も基本的かつ重要な用途は、SSH サーバーの保護です。sshd（OpenSSH）の認証失敗ログを監視し、不正ログインを試みる IP を即座にブロックします。この設定を行う際、/etc/fail2ban/jail.local ファイルを作成し、ここを優先的に読み込むように指定するのが鉄則です。jail.conf はパッケージ更新時に上書きされる可能性があるため、カスタム設定は常に jail.local に記述します。

SSH 専用の jail を定義する際、最も重要となるパラメータは maxretry、bantime、および findtime です。maxretry は検知閾値であり、例えば 3 に設定すると、ログに「Failed password」という文字列が 3 回出現した時点で BAN 対象となります。これは初心者には 5 回以上を推奨することもありますが、セキュリティ重視なら 3 回で十分です。bantime は BAN が続く時間（秒単位）であり、標準では 10 分（600 秒）がデフォルトですが、攻撃が激しい場合は 1 時間（3600 秒）やそれ以上に設定することで抑止力を高めます。

さらに、信頼できる IP アドレスを除外するための ignoreip も必須の設定です。これには自分の自宅の固定 IP や管理用サーバーの IP を指定します。例えば 192.168.1.0/24 10.0.0.0/8 のように CIDR 表記でネットワーク単位を指定することも可能です。また、IPv6 環境では IPv4 と同様に設定が必要ですが、デフォルトのフィルタが IPv6 を認識できない構成の場合があるため、ログパスや IP 形式の指定に注意が必要です。

# /etc/fail2ban/jail.local の SSH 設定例
[sshd]
enabled = true
port    = ssh,443,8080-8090
filter  = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime  = 3600
findtime = 300
ignoreip = 127.0.0.1/8 ::1/128 192.168.1.0/24

この設定において port は SSH が接続されるポートを指定します。セキュリティ向上のため、標準の 22 ポートを変更している場合、その変更後のポート番号もここに追記する必要があります。また、ログパスは OS やディストリビューションによって /var/log/auth.log（Debian/Ubuntu）と /var/log/messages（CentOS/RHEL）が異なりますので、環境に合わせて書き換える必要があります。

Recidive jail と長期 BAN の仕組み

通常の Fail2ban 設定では、BAN 期間が経過すると自動的に IP が解放されます。しかし、攻撃者は「BAN を解除されたらもう一度攻撃を試みる」という戦略をとることがあります。これを防ぐために用意されているのが「Recidive」jail です。これは失敗した回数が多い、あるいは BAN を解除後に再犯する攻撃者に対して、長期にわたる BAN（例えば 10 日）を適用するための特別機能です。

Recidive jail の設定は jail.local の末尾部分に記述します。この jail は通常の sshd jail と異なり、特定のログではなく Fail2ban 自身のログやBAN履歴を参照して動作します。つまり、「過去に 10 回以上 BAN されたことがある IP」に対して発動する仕組みです。設定例では maxretry を 5 にし、bantime を 86400（1 日）に設定すると、一度 BAN され解除された後、再び検知された時点でさらに長期の BAN を受けます。

[recidive]
enabled = true
logpath = /var/log/fail2ban.log
maxretry = 3
bantime  = 604800
findtime = 172800

この設定において、logpath は Fail2ban のメインログを指します。bantime が 604800 秒（約 1 週間）となっているため、一度ここにかかる IP は非常に長い間アクセス不能となります。これは、自動スクリプトによる永続的な攻撃や、特定の脆弱性を狙った組織的な攻撃に対して極めて有効な手段です。ただし、誤検知の場合は復旧に時間がかかるため、ignoreip を適切に設定しているかが重要になります。

Web サーバー・アプリケーションの保護

Fail2ban の威力は SSH だけではありません。Nginx や Apache などの Web サーバー、および WordPress や Nextcloud などの Web アプリケーションでも同様の保護が可能です。Web サーバーの場合は、認証失敗ログではなく「HTTP 4xx」や「5xx」エラーの発生頻度、あるいは特定の攻撃パターン（ボット検索）を監視します。これにより、スキャニングツールによる脆弱性診断や、ブルートフォースによるログイン試行を防ぎます。

Nginx の保護には nginx-http-auth または nginx-botsearch フィルタが使用されます。nginx-http-auth は HTTP 認証（Basic Auth）の失敗を監視し、nginx-botsearch は既知のボットやスキャナによるアクセスパターンを検出します。Apache の場合も同様に apache-auth や apache-noscript などのフィルタが存在します。これらの設定を行う際、Web サーバーがログ出力しているパスを正確に指定する必要があります。

[nginx-http-auth]
enabled = true
port    = http,https
logpath = /var/log/nginx/error.log
maxretry = 5
bantime = 3600
filter  = nginx-http-auth

この設定は、Nginx のエラーログに含まれる「authentication failure」メッセージを検知して BAN を行います。また、WordPress など CMS を使用している場合、wordpress-login フィルタを用いてログインフォームへの不正な POST リクエストを検知することも可能です。ただし、CMS 固有のフィルタはバージョンアップにより動作が変わる可能性もあるため、定期的なテストが必要です。

メールサーバーとクラウドストレージへの適用

メールサーバーやファイル共有サービスもまた、攻撃者の格好の標的となります。Postfix や Dovecot を使用している場合、SMTP/IMAP の認証失敗ログを監視することで、アカウント乗っ取りを防ぐことができます。特に外部から SMTP 認証を試みる攻撃は、スパム送信の元となるため、厳重な監視が求められます。また、Nextcloud や Vaultwarden（Bitwarden のオープンソース実装）などは、ユーザーの重要なデータを扱うため、ログイン試行の BAN は必須です。

Vaultwarden の場合、API 経由での認証が行われることが多く、通常の Web ブラウザとは異なるアクセスログが残ることがあります。そのため、標準的な Jail 設定では検知が漏れる可能性があります。その際は、Vaultwarden が出力するログパス（通常 storage/logs/web.log や API アクセスログ）を指定し、独自のフィルタを作成する必要があります。

Postfix の場合、メールサーバーの認証失敗は mail.log に記録されることが一般的です。Dovecot も同様に auth.log 等の位置にエラーが残ります。Fail2ban ではこれらのログパスを指定し、dovecot-auth や postfix-sasl などのフィルタを使用します。ただし、メールサーバーは業務に直結するため、誤 BAN は通信不能を引き起こします。そのため、信頼 IP の設定は念入りに行い、SSH 経路での管理も併用してください。

[dovecot]
enabled = true
port    = smtp,587,465,993,110,143,25
filter  = dovecot-auth
logpath = /var/log/mail.log
maxretry = 3
bantime = 1h

[postfix]
enabled = true
port    = smtp,smtps,submission,587,993
filter  = postfix-sasl
logpath = /var/log/mail.log
maxretry = 2
bantime = 1h

通知機能と外部連携の設定

Fail2ban の真価は、単に BAN を行うだけでなく、管理者へ即時に知らせる「通知機能」にあります。BAN が発生した際に、メール、Slack、Telegram などのチャットツールに通知を送信することで、攻撃の兆候を早期に把握できます。特に SSH への侵入試行が頻発している場合、物理的なサーバー管理が行えない環境（VPS など）ではこの通知機能が不可欠です。

メール通知の設定には SMTP アカウント情報が必要です。jail.local の [DEFAULT] セクションまたは個別の jail で destemail と sendername を設定し、SMTP サーバーとの接続情報を記述します。ただし、セキュリティ上、パスワードは環境変数や外部ファイルとして管理することが推奨されます。また、Gmail などの一般的なプロバイダでは「アプリ用パスワード」の使用が必要になる場合があるため、事前準備が必須です。

Slack や Telegram への通知には Webhook URL を使用します。これにより、BAN ログをチャットチャンネルに投稿できます。Telegram の場合は bot token と chat ID が必要です。これらの情報は機密性が高いため、jail.local に直接記述する際はファイル権限を厳格に管理し、他のユーザーが参照できないように設定ファイルを保護する必要があります。

[DEFAULT]
destemail = [email protected]
sendername = Fail2ban Monitor
mainsubject = Fail2ban detected on %(__prefix)s
action_ = %(action_mwl)s
# Slack Webhook 連携例（環境変数参照推奨）
action_slack = action-slack.sh -t "Slack Notification"

通知設定は、サーバーがダウンする前段階の警戒線として機能します。特に、BAN が解除された後の再犯や、Recidive jail の発動など、重要なイベントのみを通知するようにフィルタリングすることで、管理者のノイズ疲労を防ぐことができます。

CrowdSec との比較と移行ガイド

近年、Fail2ban の代替候補として「CrowdSec」が注目されています。CrowdSec は Python ではなく Go で書かれており、より軽量でモダンなアーキテクチャを持っています。最大の違いは、コミュニティベースの脅威インテリジェンス機能です。CrowdSec では、特定の IP が他のユーザーでも攻撃に使われているという情報をリアルタイムに共有し、BAN を即座に適用できます。一方、Fail2ban は基本的にローカルログのみを参照するため、他者の通報は反映されません。

機能面で比較すると、Fail2ban の方が設定の自由度が高く、長年の実績があります。特に複雑なカスタムフィルタや、特定の OS 環境でのサポート面では Fail2ban が有利です。しかし、CrowdSec は「セキュリティプロバイダー」としての概念を持っており、IP をBANするだけでなく、その IP がマルウェア配布元かどうかを判断する機能などを持っています。

| 比較項目 | Fail2ban (1.1+) | CrowdSec (1.6) | SSHGuard | DenyHosts |
| :--- | :--- | :--- | :--- | :--- |
| **言語** | Python | Go | C | Perl/Python |
| **設定難易度** | 中（直感的） | 低〜中（モダン） | 低 | 高（古めかしい） |
| **コミュニティ知能**| なし | **あり** (IP 共有) | なし | なし |
| **対応 OS** | 広範 (Linux, BSD) | Linux, macOS, Windows | Linux | Linux, Solaris |
| **リソース消費** | 中 | **低** | 非常に低い | 低い |
| **学習コスト** | 中 | 高（新技術） | 低 | 高 |

移行を検討する場合、CrowdSec は既存の Fail2ban と共存させることも可能です。ただし、完全に切り替える場合は設定ファイルから SSH キーや jail 定義を CrowdSec の parsers や scenarios に変換する必要があります。Fail2ban から移行する際は、まず Crowsec を並行して起動し、ログ出力を確認してから逐步的に切り替えることを推奨します。

運用テクニックとトラブルシューティング

実際にサーバーで Fail2ban を運用する際、いくつかの重要なテクニックがあります。まずは fail2ban-client コマンドを活用したステータス確認です。status, listjails, getconfig などのコマンドを実行することで、現在の BAN 状況や設定値をリアルタイムで確認できます。また、BAN を解除する必要がある際も、この CLI ツールを使用します。

# 全 jail の状態表示
fail2ban-client status

# 特定 jail の詳細（例：sshd）
fail2ban-client status sshd

# IP アドレスの BAN 解除（例：192.0.2.1）
fail2ban-client set sshd unbanip 192.0.2.1

# 特定の IP をBANリストから除外（ignoreip の追加）
fail2ban-client set sshd addignoreip 192.0.2.100

トラブルシューティングにおいて最も多いのは「ログパスの不一致」です。OS の更新や設定変更により、SSH や Web サーバーのログファイル場所が移動した場合、Fail2ban はエラーを検知できなくなります。定期的な監査として、/var/log/fail2ban.log に「No log file configured for jail...」という警告がないか確認しましょう。また、iptables のルールが競合して BAN が効かない場合は、FirewallUFW と Fail2ban の設定順序を確認する必要があります。

さらに、SSH キー認証の強制とポート knocking（ポートノッキング）との併用も検討すべきです。Fail2ban はパスワードベースの攻撃には強力ですが、ゼロデイ攻撃や内部脅威への対策は限定的です。鍵認証のみを許可し、パスワード認証を無効化することで、ブルートフォース攻撃そのもののリスクを根絶できます。ポートノッキングを用いることで、SSH ポートを常時非公開とし、特定の順序でアクセスした時のみ開放する手法も組み合わせると、防御層が厚くなります。

よくある質問（FAQ）

Fail2ban のインストールでエラーが出る場合

結論： パッケージソースの確認と依存関係の解消が必要です。 Fail2ban のインストール時にエラーが出た場合、まず apt または dnf のパッケージリストを更新して (sudo apt update) ください。また、Python のバージョンが古すぎると動作しないため、python3 を最新に更新し、必要な依存ライブラリ（如 iptables, netfilter-persistent）もインストールしてください。Debian系では fail2ban-common と分かれている場合があるため、すべてを指定して apt install fail2ban -y としてください。

BAN されてしまった自分自身への復旧方法

結論： ignoreip の追加または CLI でBAN解除を行いましょう。 もし自分の IP が誤って BAN されログインできなくなった場合は、コンソール（物理アクセスやクラウドベンダーの VNC）から SSH 接続を試み、fail2ban-client set sshd unbanip <YOUR_IP> と入力して BAN を解除します。再発防止のためには jail.local の ignoreip に自分の IP を追加し、設定を再起動 (systemctl restart fail2ban) してください。

IPv6 環境での設定は違うのか

結論： 基本設定は同一だが、ログパスとフィルタ確認が必須です。 IPv6 環境でも Fail2ban の基本操作は同じですが、filter = sshd がデフォルトで IPv6 をサポートしていない場合があります。特に /etc/fail2ban/filter.d/sshd.conf で ip6tables への対応を確認し、ログファイルに IPv6 アドレスが正しく出力されているか確認してください。必要に応じて独自のフィルタを作成し、IPv6 の IP 形式（例：::1）を認識できるように正規表現を拡張する必要があります。

CrowdSec に移行すべきか

結論： リソース効率とコミュニティ知能を求めるなら Yes です。 CrowdSec は Go で書かれておりリソース消費が少なく、他者との情報共有により即座に攻撃 IP をブロックできます。Fail2ban の設定慣れを考えると移行コストはありますが、よりモダンなセキュリティ運用を目指すなら CrowdSec への移行を検討する価値があります。特に複数サーバーを持たれる場合は、グローバルな脅威情報への接続で恩恵が大きいです。

SSH キー認証だけで十分なのか

結論： Fail2ban は補完的に使い、主軸はキー認証にすべきです。 SSH キー認証を強制し、パスワード認証を無効化すればブルートフォース攻撃そのものを防げますが、Fail2ban を残すことで、不正な鍵使用や内部のマルウェアによる異常アクセスを検知する手段になります。また、キーファイルへの物理的なアクセス権限管理が甘い環境では、Fail2ban の BAN 機能は依然として有効です。

通知メールが届かない場合の対処法

結論： SMTP 設定とアプリパスワードの確認が必要です。 メール通知が届かない場合は、jail.local 内の destemail や SMTP サーバー情報が正しいか確認してください。Gmail などのサービスではセキュリティ対策で「アプリ用パスワード」が必要になるため、通常のパスワードではなく生成されたトークンを使用します。また、スパムフォルダにも届いていないかチェックし、DNS の SPF/DKIM 設定も確認する必要があります。

fail2ban-client で BAN を解除する手順

結論： unbanip コマンドと reload が有効です。 BAN を手動解除するには、root 権限で fail2ban-client set <jail_name> unbanip <IP> を実行します。例えば SSH の BAN 解除なら set sshd unbanip 1.2.3.4 です。また、設定ファイルを変更した場合は systemctl reload fail2ban で設定を読み込ませる必要があります。BAN リストの確認は fail2ban-client status <jail_name> で可能です。

誤検知によるサービス停止を防ぐには

結論： ignoreip の活用と maxretry の調整が有効です。 正規のユーザーやスクリプトが BAN される場合は、ignoreip にその IP や CIDR を追加し、除外リストに含めます。また、maxretry を 5〜10 回に上げて閾値を緩く設定することで、一時的なネットワークエラーによる誤検知を防げます。さらに、特定のフィルタを無効化 (enabled = false) する選択肢もあります。

Web サーバー用 jail と SSH の違い

結論： 監視対象のログと攻撃パターンの定義が異なります。 SSH 用の jail は認証ログ（auth.log）を監視し、パスワード入力エラーを検知します。一方、Web サーバー用の jail はアクセスログ（access/error log）を監視し、HTTP ステータスコードや特定のボットパターンを検知します。設定ファイルの logpath と filter を適切に切り替える必要があるため、SSH 用と Web 用で別々の jail 定義を作成するのが一般的です。

高額なセキュリティソフトとの併用について

結論： 通常は冗長だが、Fail2ban は軽量な第一防御として有効です。 高額な WAF や IPS を導入している場合でも、Fail2ban のようなローカル BAN ツールはリソース消費が低く即座に動作するため、追加の防御層として併用価値があります。ただし、セキュリティソフトがファイアウォール機能を独占している場合は競合するため、両者の設定を調整し、Fail2ban がファイアウォールルールを補完する形での連携を確認してください。

まとめ

本ガイドでは、Fail2ban を用いたサーバー保護戦略について詳細に解説しました。要点を以下にまとめます。

• 基本インストール: Debian/U[bun](/glossary/bun-runtime)tu 系では apt install fail2ban で導入可能。バージョン 1.0.2 以上が推奨されます。
• 設定管理: jail.local ファイルを作成し、カスタム設定を行うことで保守性を確保します。
• SSH 保護: maxretry や bantime を環境に合わせ調整し、ignoreip で信頼 IP を除外してください。
• Web/アプリ対応: Nginx/Apache のログや WordPress 等の認証ログも監視対象として設定可能です。
• 通知機能: メールや Slack 連携により、攻撃の兆候を管理者へ即時に知らせることが重要です。
• CrowdSec 比較: CrowdSec はコミュニティ知能と軽量性を特徴とする代替案ですが、Fail2ban の汎用性も依然として高いです。
• 運用: fail2ban-client を活用し、BAN リストの確認や解除を迅速に行いましょう。

Fail2ban は設定次第で強力なセキュリティツールとなりますが、定期的なログ確認と調整が継続的な保護には不可欠です。

SSH鍵の生成・管理・運用のベストプラクティスを解説。Ed25519推奨設定やssh-agent活用、鍵のローテーション方法。