CrowdSec

Força bruta no SSH, varredura de portas e robôs atrás de painéis enchem os logs de qualquer servidor exposto. O CrowdSec lê esses logs e as requisições HTTP, reconhece padrões de ataque descritos em cenários e manda bloquear a origem. O bloqueio fica com um componente separado, o bouncer, que pode rodar em outra máquina.

Para que serve

• Detectar força bruta, port scan e varredura web com os cenários que já vêm na instalação.
• Bloquear IPs no firewall do Linux ou direto no Nginx, Traefik ou HAProxy, conforme o bouncer escolhido.
• Filtrar requisições com o módulo AppSec, um WAF baseado no Coraza que carrega o OWASP Core Rule Set.
• Puxar a lista comunitária de IPs maliciosos, alimentada pelos ataques que as instâncias dos usuários reportam.
• Baixar cenários prontos do Hub ou escrever regras próprias.

Como começar

Para Debian e Ubuntu, a documentação adiciona o repositório e instala o motor:

curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec

Sozinho, o motor só detecta. Para proteger SSH, banco de dados ou SMTP, instale também o bouncer de firewall:

sudo apt install crowdsec-firewall-bouncer-iptables

Há guias para Windows, Docker e Kubernetes. A lista comunitária funciona como troca: os ataques que sua instância reporta vão para a API central do projeto. Em ambiente regulado, leia na documentação quais dados saem do servidor.

Licença e custo

Motor e regras do Hub estão sob a MIT, então dá para alterar o código e distribuí-lo num produto seu sem publicar as mudanças. O plano Community é gratuito; a empresa cobra por um console com recursos premium (preço por motor inscrito), por blocklists extras, por consultas de reputação de IP e por um plano Enterprise.

Quando vale a pena

Num VPS com WordPress ou num servidor de e-mail exposto, o CrowdSec corta tráfego abusivo com poucos ajustes. Onde essa camada entra está em O que é WAF. O CrowdSec não substitui patch de vulnerabilidade, e DDoS volumétrico precisa ser contido antes de o tráfego chegar à máquina. Entre as alternativas, o Fail2ban é mais simples e só age localmente; o ModSecurity atende quem quer apenas o WAF.