{"id":22010,"date":"2026-11-04T08:00:00","date_gmt":"2026-11-04T07:00:00","guid":{"rendered":"https:\/\/webhosting.de\/?p=22010"},"modified":"2026-10-30T12:49:30","modified_gmt":"2026-10-30T11:49:30","slug":"crowdsec-vs-fail2ban-praktisk-anvendelse","status":"publish","type":"post","link":"https:\/\/webhosting.de\/da\/crowdsec-vs-fail2ban-praktischer-einsatz\/","title":{"rendered":"CrowdSec vs. Fail2Ban: Forskelle i praksis"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">For en enkelt server med overskuelige SSH-logfiler er <strong style=\"font-weight:700;color:inherit\">Fail2Ban<\/strong> er ofte den mest direkte vej til lokal blokering. CrowdSec er s\u00e6rligt velegnet, n\u00e5r flere logkilder, proxyservere eller separate beskyttelsespunkter skal koordineres. Det afg\u00f8rende er ikke produktnavne, men brugbare klient-IP-logfiler, et passende h\u00e5ndh\u00e6velsespunkt og verificerbare undtagelser. Begge v\u00e6rkt\u00f8jer reagerer p\u00e5 genkendelige m\u00f8nstre; de erstatter hverken sikkerhedsopdateringer, sikker login, grundl\u00e6ggende firewall-regler, sikkerhedskopier eller overv\u00e5gning.  <\/p>\n<nav class=\"wh-toc\" aria-label=\"Indholdet af denne artikel\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">G\u00e5 direkte til afsnittet<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#vergleichsrahmen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">At s\u00e6tte CrowdSec og Fail2Ban i den rette sammenh\u00e6ng<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#fail2ban-jails\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Hvordan Fail2Ban knytter \u00bbjails\u00ab og handlinger sammen<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#crowdsec-architektur\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">CrowdSecs vej fra log til sp\u00e6rring<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#entscheidungsmatrix\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Sammenlign v\u00e6rkt\u00f8jerne efter anvendelsesform\u00e5l<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#vps-praxis\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Praktisk eksempel p\u00e5 en enkelt VPS med SSH<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#proxy-und-webschutz\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Proxyservere, \u00e6gte klient-IP og webbeskyttelse<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#verteilte-setups\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Kontrolleret sikring af flere servere<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#fehlersuche\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Systematisk kontrol af typiske fejl<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#auswahl-und-betrieb\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">At drive den rette l\u00f8sning p\u00e5 lang sigt<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"vergleichsrahmen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"vergleichsrahmen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">At s\u00e6tte CrowdSec og Fail2Ban i den rette sammenh\u00e6ng<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det rigtige valg afh\u00e6nger ikke af, hvilket v\u00e6rkt\u00f8j der anses for at v\u00e6re mest moderne, men af serveren, logdataene og det \u00f8nskede anvendelsespunkt. Til en enkelt SSH-tjeneste med klare fejlmeddelelser kan Fail2Ban v\u00e6re en meget direkte l\u00f8sning. CrowdSec bliver interessant, n\u00e5r flere logkilder, forskellige beskyttelsesniveauer eller distribuerede systemer skal analyseres og sikres samlet.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Begge l\u00f8sninger tjener til at <strong style=\"font-weight:700;color:inherit\">logbaseret angrebsdetektering<\/strong>: De registrerer sikkerhedsrelevante h\u00e6ndelser, s\u00e5som mislykkede loginfors\u00f8g, klassificerer dem efter et m\u00f8nster og kan f\u00e5 en IP-adresse blokeret. Fail2Ban kombinerer til dette form\u00e5l filtre og handlinger i \u00bbjails\u00ab. CrowdSec behandler de indl\u00e6ste data via sin sikkerhedsmotor og tr\u00e6ffer beslutninger, hvis gennemf\u00f8relse varetages af en separat afhj\u00e6lpningskomponent.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det afg\u00f8rende er, hvad der rent faktisk logges. Uden tidsstempel, brugbar kilde-IP og den rette logkilde kan ingen af v\u00e6rkt\u00f8jerne p\u00e5lideligt tilskrive et angreb. Desuden yder en blokering kun beskyttelse d\u00e9r, hvor den teknisk set virker: En lokal firewall-regel hj\u00e6lper ikke automatisk, hvis datatrafikken f\u00f8rst passerer gennem en ekstern reverse proxy eller load balancer.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Som <strong style=\"font-weight:700;color:inherit\">Forebyggelse af indtr\u00e6ngen<\/strong> Begge v\u00e6rkt\u00f8jer supplerer en sikkerhedsarkitektur, men erstatter den ikke. Sikkerhedsopdateringer lukker kendte s\u00e5rbarheder, st\u00e6rk og helst flerstrenget login begr\u00e6nser misbrug af konti, og restriktive grundregler for firewallen reducerer antallet af tilg\u00e6ngelige tjenester. Sikkerhedskopier begr\u00e6nser skaderne efter en h\u00e6ndelse, mens l\u00f8bende logoverv\u00e5gning ogs\u00e5 afsl\u00f8rer problemer, der ikke udl\u00f8ser en sp\u00e6rring.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det praktiske sp\u00f8rgsm\u00e5l lyder derfor: Hvilke m\u00f8nstre skal genkendes, hvor skal reaktionen finde sted, og hvem vedligeholder regler, undtagelser og logfiler? F\u00f8rst derefter kan man tr\u00e6ffe en velbegrundet beslutning om, hvorvidt en overskuelig lokal jail-konfiguration er tilstr\u00e6kkelig, eller om CrowdSecs separate komponenter til infrastrukturen giver en m\u00e6rkbar merv\u00e6rdi.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"fail2ban-jails\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"fail2ban-jails\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Hvordan Fail2Ban knytter \u00bbjails\u00ab og handlinger sammen<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fail2Ban styrer detektering og reaktion i <strong style=\"font-weight:700;color:inherit\">F\u00e6ngsler<\/strong>. Ved SSH l\u00e6ser en jail for eksempel godkendelseslogfiler eller systemloggen. Et filter s\u00f8ger heri efter mislykkede loginfors\u00f8g fra en kilde-IP. Hvis denne inden for det konfigurerede tidsvindue overskrider det tilladte antal mislykkede fors\u00f8g, behandler Fail2Ban fundet som en blokering. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Den efterf\u00f8lgende handling bestemmer reaktionen. Ofte supplerer den en regel i den lokale firewall, men andre konfigurerede handlinger er ogs\u00e5 mulige. Dermed er forl\u00f8bet overskueligt: Logkilden leverer linjer, filteret genkender relevante h\u00e6ndelser, jailen t\u00e6ller dem, og handlingen iv\u00e6rks\u00e6tter den fastlagte modforanstaltning. Dette letter fejlfinding, forudsat at logformatet og filteret passer sammen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En jail bruger pr\u00e6cis \u00e9t filter, men kan udf\u00f8re flere handlinger. S\u00e5ledes kan den samme konstaterede SSH-sp\u00e6rring f.eks. udl\u00f8se en firewall-handling og derudover udl\u00f8se en notifikation. Flere handlinger g\u00f8r reaktionen mere fleksibel, men \u00e6ndrer ikke grundlaget for detekteringen: Alle er afh\u00e6ngige af det samme filter og dets fortolkning af loglinjerne. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Selvskrevne tekster kr\u00e6ver s\u00e6rlig omhu <strong style=\"font-weight:700;color:inherit\">Regex-filter<\/strong>. Den tilg\u00e6ngelige filterdokumentation er udtrykkeligt en udviklingsvejledning til Fail2Ban 0.9.0.dev og ikke en funktionsbeskrivelse for en bestemt stabil pakkeversion. Dine generelle bem\u00e6rkninger er stadig nyttige for filterudviklingen: Reelle logformatvarianter skal d\u00e6kkes, mens m\u00f8nstre ikke m\u00e5 passe for bredt. Nye filtre b\u00f8r derfor f\u00f8rst testes med anonymiserede eksempellinjer, f\u00f8r de udl\u00f8ser blokeringer. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Lokale \u00e6ndringer skal som udgangspunkt gemmes i filer med filtypenavnet <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.local<\/code>, ikke i leverede <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.conf<\/code>-filer. P\u00e5 den m\u00e5de forbliver egne indstillinger for logstier, tilladte netv\u00e6rk eller handlinger mere overskuelige ved pakkeopdateringer og bliver ikke blot overskrevet. F\u00f8r implementeringen b\u00f8r man desuden kontrollere, om den valgte logkilde rent faktisk eksisterer og indeholder de forventede h\u00e6ndelser. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"crowdsec-architektur\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"crowdsec-architektur\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">CrowdSecs vej fra log til sp\u00e6rring<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">CrowdSec adskiller detektion og h\u00e5ndh\u00e6velse mere tydeligt i separate komponenter. F\u00f8rst definerer indsamlingskilder, hvilke logfiler eller h\u00e6ndelsesstr\u00f8mme der skal indl\u00e6ses. Parsere normaliserer disse data; derefter vurderer scenarier m\u00f8nstre og adf\u00e6rd. Hvis der findes et matchende m\u00f8nster, udl\u00f8ses en alarm. Local API kan p\u00e5 baggrund af konfigurerede profiler generere en beslutning ud fra dette, f.eks. en tidsbegr\u00e6nset IP-sp\u00e6rring.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Et kort eksempel illustrerer forl\u00f8bet: Autentificeringsfejl fra en tjeneste sendes via Acquisition til Engine. Parsere genkender felter som tid, tjeneste og kilde-IP; et scenarie vurderer gentagne mislykkede fors\u00f8g. Den deraf genererede alarm videregives til Local API, som kan tr\u00e6ffe en beslutning ved hj\u00e6lp af en passende profil. F\u00f8rst en tilsluttet <strong style=\"font-weight:700;color:inherit\">Saneringskomponent<\/strong> gennemf\u00f8rer denne beslutning p\u00e5 det fastsatte beskyttelsespunkt.   <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Denne komponent kaldes traditionelt ogs\u00e5 en \u00bbbouncer\u00ab. Afh\u00e6ngigt af varianten kan den f.eks. h\u00e5ndh\u00e6ve beslutninger p\u00e5 en firewall, en reverse proxy eller en webserver. Security Engine alene registrerer h\u00e6ndelser og administrerer alarmer samt beslutninger via Local API, men blokerer ikke datatrafik. Uden en korrekt tilkoblet Remediation Component forbliver en genereret beslutning blot en information uden aktiv netv\u00e6rks- eller applikationsblokering.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I praksis g\u00f8r denne opdeling det muligt at fordele identifikation og blokering p\u00e5 forskellige punkter i infrastrukturen. Det \u00f8ger dog omfanget af driften: Logkilden, den lokale API-forbindelse, tilladelser og Bouncer-tildelingen skal passe sammen. Is\u00e6r ved flere tjenester skal det kontrolleres, om Remediation Component virkelig befinder sig foran den tjeneste, hvis adgang den skal blokere p\u00e5 baggrund af en beslutning.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Der skal skelnes mellem lokale scenarie-treffere og den valgfri <strong style=\"font-weight:700;color:inherit\">F\u00e6llesskabets blokeringsliste<\/strong>. Ved frivillig deltagelse kan man bidrage med signaler og hente kuraterede beslutninger vedr\u00f8rende allerede kendte angribere. Dette er en yderligere forebyggende kilde, men hverken en erstatning for lokal detektion eller en garanti for, at nye eller diskrete angribere bliver opdaget. Oprindelsen af en blokeringsbeslutning b\u00f8r derfor forblive sporbar i driften. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"entscheidungsmatrix\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"entscheidungsmatrix\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Sammenlign v\u00e6rkt\u00f8jerne efter anvendelsesform\u00e5l<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Valget mellem CrowdSec og Fail2Ban tager udgangspunkt i beskyttelsesaspektet, ikke i en generel kvalitetsvurdering. Fail2Ban analyserer loglinjer ved hj\u00e6lp af filtre og knytter disse til handlinger i \u00bbjails\u00ab. CrowdSec behandler logkilder via parsere og scenarier til alarmer; Local API kan ud fra disse ved hj\u00e6lp af profiler generere beslutninger, som gennemf\u00f8res af separate afhj\u00e6lpningskomponenter. Begge er afh\u00e6ngige af korrekt registrerede h\u00e6ndelser.   <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Sammenligning af v\u00e6rkt\u00f8jerne efter teknisk anvendelsesform\u00e5l\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Sammenligning af v\u00e6rkt\u00f8jerne efter teknisk anvendelsesform\u00e5l<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Kriterium<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Fail2Ban<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">CrowdSec<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Genkendelsesmodel<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Filtrering med regul\u00e6re udtryk i Jails; antallet af resultater kan t\u00e6lles inden for et bestemt tidsinterval.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Parsere behandler h\u00e6ndelser; scenarier vurderer adf\u00e6rd og genererer alarmer. Profiler kan p\u00e5 baggrund heraf tr\u00e6ffe beslutninger.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">H\u00e5ndh\u00e6velse af sp\u00e6rringer<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Konfigurerbare handlinger, ofte p\u00e5 den lokale firewall.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Separate Remediation-komponenter gennemf\u00f8rer beslutninger vedr\u00f8rende f.eks. firewall, reverse proxy eller webserver.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Webbeskyttelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Reagerer p\u00e5 begivenheder, der allerede er registreret.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">En passende AppSec-bouncer videresender HTTP-anmodninger til AppSec-komponenten i sikkerhedsmotoren med henblik p\u00e5 kontrol; en firewall-bouncer kontrollerer ikke HTTP-indhold.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Tilpasning<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Det er muligt at oprette egne filtre, men man skal n\u00f8je tage h\u00f8jde for logformatet og fejlresultaterne.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Parsere, scenarier og samlinger kan tilpasses; komponentmodellen \u00f8ger integrationsindsatsen.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Efterretninger om trusler<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Ingen f\u00e6lles blokeringsliste som en central del af Jail-modellen.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Ved frivillig deltagelse kan en community-blokliste give yderligere beslutningsgrundlag.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Driftsrisiko<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Uhensigtsm\u00e6ssige filtre eller handlinger kan blokere legitime adgangsforesp\u00f8rgsler.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Forkert tildelte eller manglende afhj\u00e6lpningskomponenter g\u00f8r beslutninger virkningsl\u00f8se eller blokerer p\u00e5 det forkerte sted.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Tabellen er ikke en rangliste. For nogle f\u00e5, velkendte logm\u00f8nstre er det ofte nemmere at kontrollere en lokal jail: Logkilden, filteret og firewall-handlingen ligger t\u00e6t p\u00e5 hinanden. S\u00e5 snart der er flere kilder, opstr\u00f8ms systemer eller forskellige h\u00e5ndh\u00e6velsespunkter involveret, kan det v\u00e6re fornuftigt at adskille detektion og reaktion i CrowdSec. Det kr\u00e6ver dog ogs\u00e5, at sammenh\u00e6ngene mellem komponenterne h\u00e5ndteres p\u00e5 en overskuelig m\u00e5de.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">N\u00e5r det g\u00e6lder kriteriet \u00bbwebbeskyttelse\u00ab, er det det tekniske niveau, der er afg\u00f8rende. En CrowdSec Firewall-Bouncer gennemf\u00f8rer beslutninger p\u00e5 netv\u00e6rksniveau, men analyserer ikke HTTP-indhold. I en underst\u00f8ttet AppSec-ops\u00e6tning videresender en egnet Bouncer HTTP-anmodninger til AppSec-komponenten i Security Engine, hvor AppSec-reglerne evalueres. Denne kontrol supplerer sikker udvikling og rettidige opdateringer i stedet for at udbedre kendte s\u00e5rbarheder.  <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"vps-praxis\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"vps-praxis\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Praktisk eksempel p\u00e5 en enkelt VPS med SSH<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">P\u00e5 en lille Linux-VPS med SSH og et overskueligt webstack er Fail2Ban ofte et godt og overskueligt valg. F\u00f8rst skal du kontrollere, om mislykkede SSH-login-fors\u00f8g med tidsstempel og kilde-IP p\u00e5lideligt vises i den dertil beregnede log eller journal. Uden disse data kan en jail hverken t\u00e6lle mislykkede fors\u00f8g p\u00e5 en p\u00e5lidelig m\u00e5de eller videregive den korrekte adresse til en handling. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Derefter v\u00e6lger du en passende SSH-jail og kontrollerer filtre, tidsvinduer, tilladte fejlfors\u00f8g og sp\u00e6rreperiode i forhold til din egen logon-praksis. En jail forbinder et filter med en eller flere handlinger. Dermed kan sp\u00e6rringen f.eks. delegeres til den lokale firewall uden at duplikere detekteringslogikken. For en enkelt host g\u00f8r denne sammenkobling forl\u00f8bet som regel gennemsigtigt.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Administrationsnetv\u00e6rk, n\u00f8dadgange og overv\u00e5gningssystemer kr\u00e6ver bevidst definerede undtagelser. Disse b\u00f8r v\u00e6re sn\u00e6vert afgr\u00e6nsede og m\u00e5 ikke generelt undtage store udbydernetv\u00e6rk. Kontroller desuden inden implementeringen, hvilke firewall-regler foranstaltningen rent faktisk opretter, og om IPv4 og IPv6 passer til serverkonceptet. En kontrolleret opstart med overv\u00e5gning af logfiler er sikrere end en \u00f8jeblikkelig, langvarig sp\u00e6rring.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Egne <strong style=\"font-weight:700;color:inherit\">Regex-filter<\/strong> er kun nyttige, hvis der ikke findes et eksisterende filter, der d\u00e6kker det konkrete logformat. Den tilg\u00e6ngelige vejledning til filterudvikling er m\u00e6rket som dokumentation til Fail2Ban 0.9.0.dev og g\u00e6lder derfor ikke for en stabil version som f.eks. 1.1.1. Dens udviklingsvejledning er ikke desto mindre praktisk: Test nye m\u00f8nstre med anonymiserede, \u00e6gte eksempellinjer og med lignende, men legitime linjer. Testv\u00e6rkt\u00f8jet <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">fail2ban-regex<\/code> Dette tjener til filtervalidering; det \u00e6ndrer ikke produktionssp\u00e6rringen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Lokale indstillinger h\u00f8rer hjemme i <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.local<\/code>-filer, ikke i de leverede <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.conf<\/code>-filer. P\u00e5 den m\u00e5de forbliver tilpasningerne ved pakkeopdateringer sporbare og bliver ikke ved et uheld overskrevet. Efter hver \u00e6ndring kontrollerer du logindgangen, jail-status og den udl\u00f8ste handling hver for sig; en k\u00f8rende tjeneste i sig selv udg\u00f8r endnu ikke en effektiv sp\u00e6rrek\u00e6de. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"proxy-und-webschutz\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"proxy-und-webschutz\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Proxyservere, \u00e6gte klient-IP og webbeskyttelse<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Et CDN, en load balancer eller en reverse proxy \u00e6ndrer den adresse, som serveren ser. Hvis webserveren kun modtager proxyens IP-adresse og registrerer den som klient, vil en logbaseret sp\u00e6rring i v\u00e6rste fald ramme den f\u00e6lles formidler i stedet for den angribende bes\u00f8gende. F\u00f8r hver jail, hvert scenarie og hver WAF-regel skal det derfor afklares, hvordan den oprindelige klient-IP p\u00e5lideligt videregives, accepteres og logges.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Denne tillidsk\u00e6de m\u00e5 ikke blot overtage enhver indg\u00e5ende header. Kun kendte proxy-adresser m\u00e5 have tilladelse til at levere en videresendt adresse; ellers kunne eksterne klienter forfalske den identitet, som genkendelsen og blokeringen bygger p\u00e5. Kontroller ved hj\u00e6lp af anonymiserede logudtr\u00e6k, om applikations- og adgangsloggen viser den samme klient-IP. Dokumenter desuden videresendelsen af headere mellem Edge og Origin. F\u00f8rst efter kontrollen af klient-IP\u2019en kan en reaktion p\u00e5 mist\u00e6nkelige HTTP-h\u00e6ndelser fortolkes p\u00e5 en meningsfuld m\u00e5de.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En <strong style=\"font-weight:700;color:inherit\">IP-blokering<\/strong> begr\u00e6nser forbindelser p\u00e5 firewall-niveau, f\u00f8r de n\u00e5r frem til applikationen, men kontrollerer ikke indholdet af anmodningerne. I en underst\u00f8ttet CrowdSec-AppSec-ops\u00e6tning videresender en egnet Bouncer HTTP-anmodninger til AppSec-komponenten i Security Engine; hvor de relevante AppSec-regler kontrolleres. En ren firewall-bouncer gennemf\u00f8rer derimod beslutninger p\u00e5 netv\u00e6rksniveau og foretager ingen HTTP-kontrol. Hvilken variant der passer, afh\u00e6nger af trafikkens faktiske indgangssted og de anvendte komponenter.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Logbaseret detektion er desuden en efterf\u00f8lgende proces: F\u00f8rst skal der indtr\u00e6de en h\u00e6ndelse, som skal logges korrekt og genkendes som et m\u00f8nster. Den forhindrer hverken et enkelt vellykket angreb uden en i\u00f8jnefaldende efterf\u00f8lgende h\u00e6ndelse, og den erstatter heller ikke sikkerhedsopdateringer og st\u00e6rk autentificering. De forudg\u00e5ende komponenter skal derfor passe ind i den samlede sikkerhedsarkitektur med deres p\u00e5lidelige videreformidlinger, logfiler og beskyttelsespunkter. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I praksis betyder det: Beslut f\u00f8rst, om netv\u00e6rksadgangen, HTTP-foresp\u00f8rgslen eller begge niveauer skal beskyttes. Dokumenter derefter vejen fra den offentlige adresse via proxyen til logposten, og test blokeringerne med en godkendt testadresse. P\u00e5 den m\u00e5de undg\u00e5r du, at en tilsyneladende velfungerende <strong style=\"font-weight:700;color:inherit\">Forebyggelse af indtr\u00e6ngen<\/strong> kun den forkerte infrastrukturkomponent rammes.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"verteilte-setups\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"verteilte-setups\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Kontrolleret sikring af flere servere<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">S\u00e5 snart der er flere v\u00e6rter, containere eller centralt indsamlede logfiler involveret, bliver adskillelsen af detektion og h\u00e5ndh\u00e6velse i CrowdSec praktisk. Sikkerhedsmotoren kan analysere h\u00e6ndelser fra definerede kilder, mens de relevante afhj\u00e6lpningskomponenter gennemf\u00f8rer beslutningerne p\u00e5 de respektive beskyttede punkter. CrowdSec dokumenterer i den forbindelse ogs\u00e5 distribuerede installationer og integrationen ved siden af centraliserede log-pipelines. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det reducerer ikke automatisk driftsomkostningerne. F\u00f8rst skal det for hver logkilde v\u00e6re muligt at spore, hvilken tjeneste og hvilken klient den er tilknyttet. Derefter skal hver bouncer have en klart afgr\u00e6nset forbindelse til den lokale API samt sin egen adgangsn\u00f8gle. En reverse-proxy-bouncer beskytter for eksempel ikke n\u00f8dvendigvis en separat tilg\u00e6ngelig SSH-tjeneste; den <strong style=\"font-weight:700;color:inherit\">Tildeling af d\u00f8rm\u00e6nd<\/strong> skal f\u00f8lge de faktiske dataveje. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I driften skal overv\u00e5gningen derfor omfatte token-administration, API\u2019ens tilg\u00e6ngelighed, logfiler over udl\u00f8b og fejl samt kontrol af blokeringsvirkningen. En beslutning er kun et detekteringsresultat, indtil den p\u00e5g\u00e6ldende komponent henter den og gennemf\u00f8rer den. Ved \u00e6ndringer af containere, proxyservere eller firewall-regler b\u00f8r denne k\u00e6de kontrolleres p\u00e5 ny, s\u00e5 en velfungerende detektion ikke forbliver ubem\u00e6rket uden en effektiv reaktion. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis der allerede findes egne k\u00e6der og regler, kan Firewall-Bouncer i <strong style=\"font-weight:700;color:inherit\">\"Set-only\"-tilstand<\/strong> udelukkende administrere s\u00e6t, der er oprettet p\u00e5 forh\u00e5nd. Ansvaret for regler og k\u00e6der forbliver s\u00e5 bevidst hos operat\u00f8ren. Dette passer godt til kontrollerede firewall-koncepter og compliance-krav, men kr\u00e6ver dog forst\u00e5else for den eksisterende r\u00e6kkef\u00f8lge af regler og er ikke en forenkling for nybegyndere. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"fehlersuche\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"fehlersuche\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Systematisk kontrol af typiske fejl<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis der ikke opst\u00e5r en blokering, er en fast kontrolr\u00e6kkef\u00f8lge mere nyttig end et forhastet skift af v\u00e6rkt\u00f8jet. F\u00f8rst skal det afklares, om den forventede h\u00e6ndelse overhovedet modtages med plausible tidsstempler. Derefter skal den loggede adresse virkelig v\u00e6re klientens IP-adresse. F\u00f8rst da kan man p\u00e5 en meningsfuld m\u00e5de kontrollere, om filteret eller scenariet genkender m\u00f8nsteret, og om der deraf f\u00f8lger en beslutning om blokering. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I Fail2Ban f\u00f8lger kontrollen af jail, filter og hit-t\u00e6lling efter logindl\u00e6sningen. En jail forbinder et filter med en eller flere handlinger; ved filbaserede logstier tages der ved opstart kun hensyn til allerede eksisterende filer, der passer til glob-m\u00f8nsteret. For systemd-journaler skal backend og adgangsrettigheder kontrolleres separat. En jail, der ser korrekt ud, yder ingen beskyttelse, hvis den ikke l\u00e6ser den faktiske kilde. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Egne regul\u00e6re udtryk kr\u00e6ver s\u00e6rlig forsigtighed. Den tilg\u00e6ngelige filtervejledning er m\u00e6rket som udviklingsdokumentation for Fail2Ban 0.9.0.dev og skal ikke opfattes som en version, der svarer til Fail2Ban 1.1.1. Dens anbefalinger er dog stadig nyttige, n\u00e5r man udvikler egne filtre: Test m\u00f8nstrene f\u00f8rst med anonymiserede, repr\u00e6sentative eksempellinjer og med linjer, der bevidst ikke passer. P\u00e5 den m\u00e5de kan man opdage variationer i logformater og mulige fejlagtige klassificeringer, inden der foretages en produktiv blokering. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I CrowdSec skal man efter et scenarie-match desuden kontrollere hele h\u00e5ndh\u00e6velsesk\u00e6den: Hvis der opst\u00e5r en alarm, kan Local API p\u00e5 baggrund heraf generere en beslutning ved hj\u00e6lp af en profil, og n\u00e5r denne beslutning frem til den tilsigtede afhj\u00e6lpningskomponent? Uden en korrekt tilkoblet Bouncer forbliver beslutningen alene uden aktiv sp\u00e6rring. Derefter skal firewallens eller proxyens virkning kontrolleres ved det relevante indgangssted, uden at man sp\u00e6rrer sig selv ude fra sin egen administrative adgang.  <\/p>\n<aside class=\"wh-callout wh-callout-warning\" style=\"display:block;margin:28px 0;padding:20px 23px;border:1px solid #d1e4dd;border-left:4px solid #187065;border-radius:11px;background:#f0f7f4\"><p class=\"wh-callout-title\" style=\"margin:0 0 8px;color:#1c5c53;font-size:16px;font-weight:700;line-height:1.5\">Sikker kontrol inden sp\u00e6rringen<\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Test \u00e6ndringer med en separat administratoradgang og dokumenterede undtagelser. En forkert tildelt kilde-IP-adresse eller et for bredt filter kan udelukke berettigede brugere.<\/p>\n<\/aside><\/section><section class=\"wh-section\" aria-labelledby=\"auswahl-und-betrieb\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"auswahl-und-betrieb\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">At drive den rette l\u00f8sning p\u00e5 lang sigt<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fail2Ban egner sig ofte til en enkelt server med klare, lokale logm\u00f8nstre, f.eks. gentagne mislykkede SSH-fors\u00f8g. Dens \u00bbjails\u00ab, filtre og handlinger kan henf\u00f8res direkte til en afgr\u00e6nset tjeneste. CrowdSec bliver mere interessant, n\u00e5r flere logkilder, forskellige h\u00e5ndh\u00e6velsespunkter eller webbeskyttelse skal koordineres med en passende komponent. Det afg\u00f8rende er den p\u00e5viselige datavej, ikke en generel vurdering af, hvilket v\u00e6rkt\u00f8j der er det mest moderne. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Begge l\u00f8sninger kr\u00e6ver en struktureret \u00e6ndringsproces: Konfigurationer skal versionsstyres, nye filtre eller scenarier skal f\u00f8rst testes mod kendte logeksempler, og blokeringer skal overv\u00e5ges. Opdateringer fortjener samme opm\u00e6rksomhed. Fail2Ban 1.1.1 blev udgivet den 15. august 2026. Lokale tilpasninger og de faktisk anvendte firewall-handlinger b\u00f8r afstemmes med m\u00e5lmilj\u00f8et inden en opdatering. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><strong style=\"font-weight:700;color:inherit\">Forebyggelse af indtr\u00e6ngen<\/strong> supplerer sikkerhedsgrundlaget, men erstatter det ikke: l\u00f8bende opdateringer, st\u00e6rk og helst flertrins-login, restriktive firewall-regler, sikkerhedskopier og logoverv\u00e5gning er stadig n\u00f8dvendige. Is\u00e6r i hosting-milj\u00f8er b\u00f8r man ogs\u00e5 holde \u00f8je med applikationernes driftstid. Artiklen om <a href=\"https:\/\/webhosting.de\/da\/cloudlinux-gamle-php-versioner-sikkerhedsaspekter-og-anvendelsesomrader-safeserver\/\">CloudLinux Alt-PHP og dets sikkerhedsaspekter<\/a> viser, hvorfor adskilte og velvedligeholdte runtime-versioner er en del af en robust driftsmodel.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">N\u00e5r det g\u00e6lder webtjenester, skal den fulde vej fra klienten via CDN eller reverse proxy til origin desuden fremg\u00e5 af driftsdokumentationen. \u00c6ndringer i protokoller og leveringsveje kan have indflydelse p\u00e5, hvilken komponent der modtager forbindelser, og hvilken adresse der vises i loggen. Artiklen om <a href=\"https:\/\/webhosting.de\/da\/http2-server-push-hosting-udrulningsscenarier-cacheboost\/\">HTTP\/2 Server Push i hosting<\/a> forklarer ved hj\u00e6lp af eksempler, hvordan browseren, CDN\u2019en og webserveren samarbejder om leveringen. Uanset dette er det afg\u00f8rende for blokeringslogikken, at den p\u00e5lideligt overf\u00f8rte klient-IP er tilg\u00e6ngelig p\u00e5 det rette beskyttelsespunkt.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det langsigtede valg skal fortsat kunne kontrolleres: Hvis logformater, proxy-ruter, tjenester eller antallet af servere \u00e6ndrer sig, kan et koncept, der tidligere var passende, f\u00e5 huller. Not\u00e9r derfor, hvilke h\u00e6ndelser der skal registreres, hvor beslutninger skal gennemf\u00f8res, og hvem der godkender undtagelser. Disse <strong style=\"font-weight:700;color:inherit\">Arbejdsdisciplin<\/strong> g\u00f8r en IP-blokering til en kontrollerbar beskyttelsesforanstaltning i stedet for en uoverv\u00e5get \u00e6ndring af firewallen.<\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Kilder og den aktuelle videnskabelige viden<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Status for unders\u00f8gelsen: <time datetime=\"2026-10-28\">2026-10-28<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Unders\u00f8gelses- og versionsstatus: 28. oktober 2026. Fail2Ban 1.1.1 blev udgivet den 15. august 2026. CrowdSec-funktionerne vurderes separat efter sikkerhedsmotor, scenarier og den anvendte afhj\u00e6lpningskomponent.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/manpages.debian.org\/testing\/fail2ban\/jail.conf.5.en.html<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.crowdsec.net\/u\/getting_started\/intro\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/manpages.debian.org\/buster\/fail2ban\/jail.conf.5.en.html<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/fail2ban.readthedocs.io\/en\/latest\/filters.html<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.crowdsec.net\/docs\/concepts\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.crowdsec.net\/docs\/bouncers\/intro\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.crowdsec.net\/docs\/intro\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.crowdsec.net\/docs\/bouncers\/firewall\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/github.com\/fail2ban\/fail2ban\/releases<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>CrowdSec og Fail2Ban blokerer mist\u00e6nkelige IP-adresser, men adskiller sig fra hinanden med hensyn til detektion, h\u00e5ndh\u00e6velse og driftsomkostninger. Sammenligningen viser, hvilken l\u00f8sning der passer bedst til VPS, proxy og distribuerede ops\u00e6tninger.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[794],"tags":[],"class_list":["post-22010","post","type-post","status-publish","format-standard","hentry","category-sicherheit-computer_und_internet"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":null,"_wh_make_key":"wh_41c706717992e87e84ef759648f5030c","rank_math_internal_links_processed":"1","_wh_make_topic":"CrowdSec vs Fail2Ban \u2013 Unterschiede im praktischen Einsatz","_wh_make_input_keywords":["crowdsec vs fail2ban","intrusion prevention","server security"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":21026,"url":"https:\/\/webhosting.de\/linux-transparent-page-cache-page-cache-unterschiede-optimierung-datencache\/","title":"Linux Transparent Page Cache: Grundl\u00e6ggende principper og forskelle i forhold til den klassiske page-cache","excerpt":"I to s\u00e6tninger vil jeg vise, hvordan Linux fremskynder filadgang i RAM, og hvordan en transparent sidecache udnytter st\u00f8rre sideenheder til at reducere administrationsbyrden. Desuden vil jeg forklare forskellene i forhold til den klassiske sidecache med 4-KiB-sider, indvirkningen p\u00e5 TLB, fragmentering og arbejdsbelastningsadf\u00e6rd. Hovedpunkter Sidest\u00f8rrelse: 4 KiB vs. 2 MiB p\u00e5virker granularitet og effektivitet. TLB-belastning: Store sider reducerer antallet af poster, sm\u00e5 sider bevarer fleksibiliteten. Fragmentering: Store sider kr\u00e6ver sammenh\u00e6ngende RAM. Arbejdsbelastninger: Sekventielle arbejdsbelastninger drager stor fordel, tilf\u00e6ldige arbejdsbelastninger mindre. Kontrol: Test, m\u00e5l, og konfigurer derefter trin for trin. Hvad er den klassiske Linux-sidecache? Den klassiske sidecache opbevarer hyppigt anvendte filsider i RAM, s\u00e5 l\u00e6seadgang sker direkte fra RAM. Den arbejder typisk med 4-KiB-sider og administrerer hver side som en selvst\u00e6ndig enhed i cachen. Dermed forbliver mange sm\u00e5 filer eller hyppigt anmodede dele af store filer tilg\u00e6ngelige uden at belaste SSD'en eller HDD'en. Kernen prioriterer aktive sider, kasserer sj\u00e6ldent anvendt indhold og reagerer dermed dynamisk p\u00e5 belastningsspidser. For en mere dybdeg\u00e5ende baggrund henviser jeg til en kortfattet introduktion til sidecache-ydeevne, der beskriver grundprincippet p\u00e5 en praktisk m\u00e5de. Hvorfor en transparent sidecache? Mange enkelte 4-KiB-sider medf\u00f8rer administrativt arbejde og \u00f8get belastning p\u00e5 TLB'en. St\u00f8rre sider, s\u00e5som 2 MiB, kan d\u00e6kke det samme adresserum med f\u00e6rre poster og dermed spare CPU-tid. En transparent sidecache samler automatisk fil-sider til st\u00f8rre enheder, n\u00e5r adgangs-m\u00f8nstre og hukommelsesplacering tillader det. Dette ligner ideen bag Transparent Huge Pages, men henviser her til filbaseret cache i stedet for anonym hukommelse. Jeg tager f\u00f8rst s\u00e5danne funktioner i brug, n\u00e5r jeg har forst\u00e5et adgangs m\u00f8nstre, fragmentering og latenstidskrav, da st\u00f8rre sider \u00f8ger granulariteten. Sammenlign forskelle systematisk For at skabe et klart overblik stiller jeg de vigtigste egenskaber ved klassisk cache, transparent sidecache og THP side om side, s\u00e5 valget bliver lettere for den enkelte arbejdsbelastning. Fokus ligger p\u00e5 sidest\u00f8rrelse,"},"I2":{"id":"I2","post_id":20994,"url":"https:\/\/webhosting.de\/cloudlinux-alt-php-sicherheitsaspekte-und-einsatzgebiete-safeserver\/","title":"CloudLinux: \u00c6ldre PHP-versioner \u2013 sikkerhedsaspekter og anvendelsesomr\u00e5der","excerpt":"CloudLinux Alt-PHP giver mig mulighed for at k\u00f8re \u00e6ldre PHP-applikationer sikkert og samtidig k\u00f8re aktuelle projekter uden at g\u00e5 p\u00e5 kompromis. I dette indl\u00e6g viser jeg p\u00e5 en praktisk m\u00e5de, hvilke sikkerhedsaspekter der er vigtige, hvor Alt-PHP overbeviser, og hvordan jeg planl\u00e6gger brugen m\u00e5lrettet. Hovedpunkter Inden jeg g\u00e5r i detaljer, opsummerer jeg kort de vigtigste pointer og giver et kompakt overblik med klare hovedpunkter, som jeg uddyber i teksten. Alt-PHP holder \u00e6ldre applikationer funktionsdygtige og mindsker presset for migration. HardenedPHP leverer yderligere sikkerhedspatches til \u00e6ldre versioner. CageFS og LVE adskiller klienter og begr\u00e6nser ressourcerne. php selector styrer versioner, moduler og php.ini-indstillinger pr. konto. Planl\u00e6gning og overv\u00e5gning sikrer driften indtil migreringen. Listen fungerer som en r\u00f8d tr\u00e5d, s\u00e5 jeg kan m\u00e5lrette de f\u00f8lgende afsnit, og relevansen forbliver tydelig. Hvad kendetegner CloudLinux Alt-PHP? Jeg bruger CloudLinux Alt-PHP til at k\u00f8re flere PHP-versioner parallelt og adskilt fra system-PHP. P\u00e5 den m\u00e5de holder jeg \u00e6ldre applikationer tilg\u00e6ngelige uden at binde hele serverlandskabet til en for\u00e6ldet version. Alt-PHP-pakkerne (f.eks. alt-php5.6, alt-php7.4, alt-php8.x) leveres som separat vedligeholdte builds, som jeg m\u00e5lrettet tildeler pr. konto eller dom\u00e6ne. Dermed sikrer jeg kompatibilitet, mindsker migrationsrisici og holder moderne projekter opdateret med de nyeste udgivelser. Denne adskillelse giver mig spillerum til at teste opdateringer p\u00e5 en kontrolleret m\u00e5de og planl\u00e6gge overgangen grundigt. Jeg drager fordel af, at de gamle PHP-pakker vedligeholdes af CloudLinux og fungerer sammen med hostingfunktioner som CageFS og LVE. P\u00e5 den m\u00e5de f\u00f8les det nemt at skifte version i den daglige drift, selvom jeg teknisk set bruger et separat runtime-milj\u00f8. Gamle og nye projekter k\u00f8rer side om side uden at p\u00e5virke hinanden. Det minimerer forstyrrelser ved implementeringer og opdateringer. Samtidig forbliver servermilj\u00f8et overskueligt, fordi jeg for hver konto kan tildele pr\u00e6cis det, der faktisk er brug for. php selector i hverdagen Via php selector indstiller jeg den passende version pr. bruger eller pr. dom\u00e6ne, ak"},"I3":{"id":"I3","post_id":18985,"url":"https:\/\/webhosting.de\/http2-server-push-hosting-einsatzszenarien-cacheboost\/","title":"HTTP\/2 Server Push: Applikationsscenarier i hosting for maksimal ydelse","excerpt":"HTTP\/2 Server Push fremskynder de f\u00f8rste anmodninger, fordi serveren straks sender kritiske ressourcer som CSS og JavaScript med og dermed sparer roundtrips. I hosting-ops\u00e6tninger med stor trafik bruger jeg m\u00e5lrettet HTTP\/2 til m\u00e6rkbart at reducere Start-Render, LCP og Time to Interactive. Vigtige punkter: Push vs. Preload: Push leverer ressourcer p\u00e5 forh\u00e5nd, mens Preload anmelder dem tidligt. Anvendelige scenarier: Landingssider, WordPress, PWA\u2019er, webshops og h\u00f8j trafik. Hostingfunktioner: HTTP\/2, TLS, de rigtige moduler og caching. M\u00e5ling: DevTools, LCP\/FID\/INP og vandfaldsanalyser. Faldgruber: For meget push, dobbelt overf\u00f8rsel og manglende prioritering. S\u00e5dan fungerer HTTP\/2-server-push i hosting Ved den f\u00f8rste anmodning om HTML-siden sender serveren et push-promise og leverer filer som stylesheets og scripts med det samme, f\u00f8r browseren aktivt anmoder om dem; p\u00e5 den m\u00e5de sparer jeg latenstid og undg\u00e5r ekstra anmodningsrunder. HTTP\/2 tillader parallelle streams i en forbindelse, s\u00e5 ingen ressourcer blokerer hinanden, og indl\u00e6sningen forl\u00f8ber betydeligt mere flydende, is\u00e6r med TLS. Moderne browsere kan afvise push-anmodninger, hvis cachen allerede indeholder en opdateret kopi, hvilket sk\u00e5ner b\u00e5ndbredden og respekterer prioriteterne. I hostingmilj\u00f8er med HTTP\/2, TLS og korrekt konfiguration l\u00f8fter jeg dermed den synlige hastighed til et h\u00f8jere niveau, is\u00e6r i omr\u00e5det \u00bbabove-the-fold\u00ab. For mig er push en leveringsmekanisme, der p\u00e5 elegant vis omg\u00e5r problemet med at finde de kritiske ressourcer. Kompatibilitet, fallbacks og den aktuelle status Det er vigtigt, at jeg altid planl\u00e6gger push, s\u00e5 det kan nedprioriteres: Nogle browsere og CDN\u2019er har med tiden reduceret eller deaktiveret server-push, mens preload og 103 Early Hints vinder stadig mere indpas. Min tilgang: Jeg definerer preload-headere pr\u00e6cist, s\u00e5 den tidlige forh\u00e5ndsmeddelelse virker, selv hvis push mangler. Hvor push er aktivt, drager f\u00f8rstegangsbes\u00f8gende fordel af det; hvor det ikke virker, varetager preload opdagelsen. P\u00e5 den m\u00e5de opst\u00e5r der ingen funktionelle afh\u00e6ngigheder. Graceful Degradation: Preload er obligatorisk, Push er en valgfri turbo. Cache-first: St\u00e6rke cache-hits forhindrer dobbelte overf\u00f8rsler, selv n\u00e5r Push er udl\u00f8st. Feature-toggles: Jeg aktiverer Push selektivt pr. host\/sti og ruller det gradvist ud"}},"_wh_make_stage":"pruefung","_wh_make_research_date":"2026-10-28","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3121,"fetched_at":"2026-10-28T07:00:25+00:00","selected_ids":[21026,20994,18985]},"_wh_make_draft_hash":"23245183e30815a02135dda0da8f7668c7b1aca54b3127ea4b8da4976989ab0e","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1422","topic":"CrowdSec vs Fail2Ban \u2013 Unterschiede im praktischen Einsatz","keywords":["crowdsec vs fail2ban","intrusion prevention","server security"],"category_input":"794"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"hold","pending":null,"receipts":{"2197ff3edc65f31e17e99d2e21288ecf":"deea399cd0e82401665d768dfcf776f948f0b78fb5e932b3c2a2cad0d9473c95","a3a87b10547200d2a28769d6e2b63898":"86fb17bb21452a0e267b537a5970daa12b7e8e921db414045c441fdf2d9119cb","5d78ed900fa838206c2095a428472a3c":"f3fcbecf04d810466828c2f752ea918a48bd112fcb9b21732728e28ae8517d2b","782b4befffff883800f16b1081c46867":"3f2b9be753ba4af389234f549c495bb14d2ae9d767b7a3f370fbfaf78cb6bbb5","37c36d8b83491593eb002bde9b265c4d":"345a567b0d0abe62cd46da4ad39e0bbee740ae6aa133fccc3ff07428c2ed7802","b442340bcb8817c830646e61e2a35d96":"8f628262ad47a165265357387ea05936b10c119aed896484d0836a9c507b3ca0","d5f54248444584361d1baf91cbde865f":"318381071fb0e0a777eca38d4966acbc3a8d08c4eafc85d19c97d86816cf7185","1c1fbcdd0a8f44c875f96a3ba2b58ecd":"6b042817974fb0a43785018a4ca537ede286ffab336996fde6f02c58946cb9ea","7d93512922f0340a1c7198be0bbd2a12":"a3e3494f44c34e9873ba14bf445bee98fff577355030badbbeda96b733cef150","b319b15c0d3af87e9e3b30171c534c79":"87f6d0d568aa67f54a81cec49ac0a5817d303daf85a95e4aea313f5312db3a1f","857d7eebe11e0d1fd9873de4ddae585f":"eb81469a0b73b387b7563992f1ce9432f8e98da3f3c629e12a6ad702e293913e","a69cbec65572208b992b114eecbeed12":"e347cc7ad975feaf666d12933f49c3abc843c86bb6b9fd6d090bb1520e36ebbd","2041ba6049b9ccefc1082cf579ae9437":"135df7b57fe6fb1ef9767b1ad47aa9c549ee5924e4df30e6db251edae4469a34"},"parts":{"1":[{"id":"vergleichsrahmen","heading":"CrowdSec und Fail2Ban richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die passende Wahl h\u00e4ngt nicht davon ab, welches Werkzeug als moderner gilt, sondern von Server, Logdaten und gew\u00fcnschtem Durchsetzungspunkt. F\u00fcr einen einzelnen SSH-Dienst mit klaren Fehlermeldungen kann Fail2Ban sehr direkt sein. CrowdSec wird interessant, wenn mehrere Logquellen, unterschiedliche Schutzebenen oder verteilte Systeme gemeinsam ausgewertet und abgesichert werden sollen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beide L\u00f6sungen dienen der ","ref":""},{"kind":"strong","text":"logbasierten Angriffserkennung","ref":""},{"kind":"text","text":": Sie lesen sicherheitsrelevante Ereignisse wie fehlgeschlagene Anmeldungen, ordnen sie einem Muster zu und k\u00f6nnen eine IP-Adresse sperren lassen. Fail2Ban verbindet daf\u00fcr Filter und Aktionen in Jails. CrowdSec verarbeitet eingelesene Daten \u00fcber seine Security Engine und erzeugt Entscheidungen, deren Umsetzung eine separate Remediation Component \u00fcbernimmt.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist, was tats\u00e4chlich protokolliert wird. Ohne Zeitstempel, verwertbare Quell-IP und passende Logquelle kann keines der Werkzeuge einen Angriff zuverl\u00e4ssig zuordnen. Eine Sperre sch\u00fctzt au\u00dferdem nur dort, wo sie technisch greift: Eine lokale Firewall-Regel hilft nicht automatisch, wenn der Datenverkehr zuvor an einem externen Reverse Proxy oder Load Balancer endet.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Als ","ref":""},{"kind":"strong","text":"Intrusion Prevention","ref":""},{"kind":"text","text":" erg\u00e4nzen beide Werkzeuge eine Sicherheitsarchitektur, ersetzen sie aber nicht. Sicherheitsupdates schlie\u00dfen bekannte Schwachstellen, starke und m\u00f6glichst mehrstufige Anmeldung begrenzt Kontenmissbrauch, restriktive Firewall-Grundregeln reduzieren erreichbare Dienste. Backups begrenzen Sch\u00e4den nach einem Vorfall, w\u00e4hrend fortlaufendes Logmonitoring auch Probleme sichtbar macht, die keine Sperre ausl\u00f6sen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die praktische Frage lautet daher: Welche Muster m\u00fcssen erkannt werden, an welcher Stelle soll die Reaktion erfolgen und wer pflegt Regeln, Ausnahmen sowie Logs? Erst danach l\u00e4sst sich begr\u00fcndet entscheiden, ob eine \u00fcberschaubare lokale Jail-Konfiguration gen\u00fcgt oder ob CrowdSecs getrennte Komponenten f\u00fcr die Infrastruktur einen erkennbaren Zusatznutzen bringen.","ref":""}]}]},{"id":"fail2ban-jails","heading":"Wie Fail2Ban Jails und Aktionen verkn\u00fcpft","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fail2Ban organisiert Erkennung und Reaktion in ","ref":""},{"kind":"strong","text":"Jails","ref":""},{"kind":"text","text":". Bei SSH liest eine Jail beispielsweise Authentifizierungsprotokolle oder das Systemjournal. Ein Filter sucht darin nach fehlgeschlagenen Anmeldungen einer Quell-IP. \u00dcberschreitet diese innerhalb des konfigurierten Zeitfensters die erlaubte Zahl von Fehlversuchen, behandelt Fail2Ban den Treffer als Sperrfall.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die anschlie\u00dfende Aktion bestimmt die Reaktion. H\u00e4ufig erg\u00e4nzt sie eine Regel in der lokalen Firewall, m\u00f6glich sind jedoch auch andere konfigurierte Aktionen. Damit ist die Kette nachvollziehbar: Logquelle liefert Zeilen, der Filter erkennt relevante Ereignisse, die Jail z\u00e4hlt sie und die Aktion setzt die vorgesehene Gegenma\u00dfnahme um. Das erleichtert die Fehlersuche, sofern Logformat und Filter zusammenpassen.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Jail verwendet genau einen Filter, kann jedoch mehrere Aktionen ausf\u00fchren. So kann derselbe festgestellte SSH-Sperrfall etwa eine Firewall-Aktion ausl\u00f6sen und zus\u00e4tzlich eine Benachrichtigung ansto\u00dfen. Mehrere Aktionen machen die Reaktion flexibler, \u00e4ndern aber nicht die Grundlage der Erkennung: Alle h\u00e4ngen am selben Filter und dessen Interpretation der Logzeilen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Sorgfalt brauchen selbst geschriebene ","ref":""},{"kind":"strong","text":"Regex-Filter","ref":""},{"kind":"text","text":". Sie m\u00fcssen reale Logformatvarianten abdecken, d\u00fcrfen aber nicht zu gro\u00dfz\u00fcgig passen. Zu weite Muster k\u00f6nnen legitime Zugriffe f\u00e4lschlich erfassen; ung\u00fcnstige Ausdr\u00fccke k\u00f6nnen zudem durch manipulierte oder komplexe Eingaben problematisch werden. Pr\u00fcfe neue Filter daher zun\u00e4chst mit anonymisierten Beispielzeilen und dem daf\u00fcr vorgesehenen Testwerkzeug, bevor sie Sperren ausl\u00f6sen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Lokale \u00c4nderungen geh\u00f6ren grunds\u00e4tzlich in Dateien mit der Endung ","ref":""},{"kind":"code","text":".local","ref":""},{"kind":"text","text":", nicht in ausgelieferte ","ref":""},{"kind":"code","text":".conf","ref":""},{"kind":"text","text":"-Dateien. Damit bleiben eigene Werte f\u00fcr Logpfade, erlaubte Netze oder Aktionen bei Paketupdates besser nachvollziehbar und werden nicht einfach \u00fcberschrieben. Vor dem Rollout sollte au\u00dferdem gepr\u00fcft werden, ob die gew\u00e4hlte Logquelle tats\u00e4chlich existiert und die erwarteten Ereignisse enth\u00e4lt.","ref":""},{"kind":"citation","text":"","ref":"S5"}]}]},{"id":"crowdsec-architektur","heading":"CrowdSecs Weg vom Log zur Sperre","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"CrowdSec trennt Erkennung und Durchsetzung deutlicher in einzelne Komponenten. Zuerst definieren Acquisition-Quellen, welche Logs oder Ereignisstr\u00f6me eingelesen werden. Parser normalisieren diese Daten; Szenarien bewerten anschlie\u00dfend Muster und Verhalten. Bei einem passenden Muster entsteht ein Alert, aus dem \u00fcber ein Profil oder eine Regel eine Decision hervorgehen kann, etwa eine zeitlich begrenzte IP-Sperre.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein kurzes Beispiel verdeutlicht den Ablauf: Authentifizierungsfehler eines Dienstes gelangen \u00fcber die Acquisition in die Engine. Parser erkennen Felder wie Zeit, Dienst und Quell-IP; ein Szenario bewertet wiederholte Fehlversuche. Der daraus erzeugte Alert f\u00fchrt zu einer Decision. Erst ein angeschlossener ","ref":""},{"kind":"strong","text":"Remediation Component","ref":""},{"kind":"text","text":" setzt diese Entscheidung am vorgesehenen Schutzpunkt durch.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Komponente wird traditionell auch Bouncer genannt. Je nach Variante kann sie Entscheidungen beispielsweise an einer Firewall, einem Reverse Proxy oder einem Webserver umsetzen. Die Security Engine allein erkennt also Vorf\u00e4lle und verwaltet Entscheidungen, sperrt jedoch keinen Datenverkehr. Ohne korrekt angebundenen Bouncer bleibt eine erzeugte Decision eine Information ohne aktive Netz- oder Anwendungssperre.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Praktisch erlaubt die Trennung, Erkennung und Sperre auf verschiedene Infrastrukturpunkte zu verteilen. Sie erh\u00f6ht jedoch den Betriebsumfang: Logquelle, lokale API-Verbindung, Berechtigungen und Bouncer-Zuordnung m\u00fcssen zusammenpassen. Vor allem bei mehreren Diensten ist zu pr\u00fcfen, ob der Bouncer wirklich vor dem Dienst sitzt, dessen Zugriffe er aufgrund einer Decision blockieren soll.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Von lokalen Szenario-Treffern zu unterscheiden ist die optionale ","ref":""},{"kind":"strong","text":"Community Blocklist","ref":""},{"kind":"text","text":". Bei freiwilliger Teilnahme k\u00f6nnen Signale beigetragen und kuratierte Entscheidungen zu bereits bekannten Angreifern bezogen werden. Das ist eine zus\u00e4tzliche pr\u00e4ventive Quelle, aber weder ein Ersatz f\u00fcr lokale Erkennung noch eine Zusage, neue oder unauff\u00e4llige Angreifer zu erfassen. Die Herkunft einer Sperrentscheidung sollte im Betrieb daher nachvollziehbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]}],"2":[{"id":"entscheidungsmatrix","heading":"Die Werkzeuge nach Einsatzfall vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Entscheidung zwischen CrowdSec und Fail2Ban beginnt mit dem Schutzpunkt, nicht mit einem allgemeinen Qualit\u00e4tsurteil. Fail2Ban wertet Logzeilen mit Filtern aus und verkn\u00fcpft diese in Jails mit Aktionen. CrowdSec verarbeitet Logquellen \u00fcber Parser und Szenarien zu Entscheidungen, die getrennte Remediation Components durchsetzen. Damit unterscheiden sich vor allem Betriebsmodell und Integrationsm\u00f6glichkeiten, w\u00e4hrend beide auf korrekt erfasste Ereignisse angewiesen bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"}]},{"type":"table","caption":"Vergleich der Werkzeuge nach technischem Einsatzfall","headers":["Kriterium","Fail2Ban","CrowdSec"],"rows":[["Erkennungsmodell","Filter mit regul\u00e4ren Ausdr\u00fccken in Jails; Treffer k\u00f6nnen innerhalb eines Zeitfensters gez\u00e4hlt werden.","Parser bereiten Ereignisse auf; Szenarien bewerten Verhalten und erzeugen Alerts sowie Decisions."],["Sperrdurchsetzung","Konfigurierbare Aktionen, h\u00e4ufig an der lokalen Firewall.","Getrennte Remediation Components f\u00fcr etwa Firewall, Reverse Proxy oder Webserver."],["Webschutz","Reagiert auf bereits protokollierte Ereignisse.","AppSec- beziehungsweise WAF-Pr\u00fcfung ist m\u00f6glich, aber nur mit einem daf\u00fcr geeigneten Bouncer."],["Anpassung","Eigene Filter sind m\u00f6glich, m\u00fcssen aber Logformat und Fehlertreffer sorgf\u00e4ltig ber\u00fccksichtigen.","Parser, Szenarien und Collections sind anpassbar; das Komponentenmodell erh\u00f6ht den Integrationsaufwand."],["Threat Intelligence","Keine kollaborative Blockliste als Kernbestandteil des Jail-Modells.","Bei freiwilliger Teilnahme kann eine Community Blocklist zus\u00e4tzliche Entscheidungen liefern."],["Betriebsrisiko","Unpassende Filter oder Aktionen k\u00f6nnen legitime Zugriffe sperren.","Falsch zugeordnete oder fehlende Bouncer lassen Decisions wirkungslos oder sperren am falschen Punkt."]],"source_ids":["S1","S2","S4","S7"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Tabelle ist keine Rangliste. F\u00fcr wenige, gut verstandene Logmuster ist eine lokale Jail oft leichter zu pr\u00fcfen: Logquelle, Filter und Firewall-Aktion liegen nah beieinander. Sobald mehrere Quellen, vorgeschaltete Systeme oder unterschiedliche Durchsetzungspunkte beteiligt sind, kann die Trennung von Erkennung und Reaktion bei CrowdSec sinnvoll sein. Sie verlangt jedoch auch, die Beziehungen der Komponenten nachvollziehbar zu betreiben.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beim Kriterium Webschutz ist die technische Ebene entscheidend. Ein CrowdSec Firewall-Bouncer blockiert Verbindungen auf Netzwerkebene, untersucht jedoch keinen HTTP-Inhalt. F\u00fcr Regeln gegen typische Angriffe auf Anwendungsebene braucht es einen WAF-f\u00e4higen Bouncer f\u00fcr die tats\u00e4chlich verwendete Proxy- oder Webserver-Software. Auch dann erg\u00e4nzt die Pr\u00fcfung die sichere Entwicklung und zeitnahe Updates, statt bekannte Schwachstellen zu beheben.","ref":""},{"kind":"citation","text":"","ref":"S4"}]}]},{"id":"vps-praxis","heading":"Praxisfall einzelner VPS mit SSH","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Auf einem kleinen Linux-VPS mit SSH und einem \u00fcberschaubaren Webstack ist Fail2Ban h\u00e4ufig eine gut kontrollierbare Wahl. Zuerst pr\u00fcfst du, ob fehlgeschlagene SSH-Anmeldungen mit Zeitstempel und Quell-IP zuverl\u00e4ssig im vorgesehenen Log oder Journal erscheinen. Ohne diese Daten kann eine Jail weder Fehlversuche belastbar z\u00e4hlen noch die richtige Adresse an eine Aktion \u00fcbergeben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Danach w\u00e4hlst du eine passende SSH-Jail und kontrollierst Filter, Zeitfenster, zul\u00e4ssige Fehlversuche und Sperrdauer gegen die eigene Anmelderealit\u00e4t. Eine Jail verbindet einen Filter mit einer oder mehreren Aktionen. Dadurch l\u00e4sst sich die Sperre beispielsweise an die lokale Firewall delegieren, ohne die Erkennungslogik zu duplizieren. F\u00fcr einen einzelnen Host h\u00e4lt diese Kopplung den Ablauf meist transparent.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Verwaltungsnetze, Notfallzug\u00e4nge und Monitoring-Systeme brauchen bewusst definierte Ausnahmen. Diese sollten eng begrenzt sein und nicht pauschal gro\u00dfe Provider-Netze freistellen. Pr\u00fcfe au\u00dferdem vor dem Rollout, welche Firewall-Regeln die Aktion tats\u00e4chlich anlegt und ob IPv4 und IPv6 zum Serverkonzept passen. Ein kontrollierter Start mit beobachteten Logs ist sicherer als eine sofortige, lange Sperrdauer.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eigene ","ref":""},{"kind":"strong","text":"Regex-Filter","ref":""},{"kind":"text","text":" sind erst dann sinnvoll, wenn kein vorhandener Filter das konkrete Logformat abdeckt. Teste sie vor der Aktivierung mit anonymisierten echten Beispielzeilen und auch mit \u00e4hnlichen, aber legitimen Zeilen. Fail2Ban weist darauf hin, dass zu breite Muster, manipulierte Logeintr\u00e4ge und ung\u00fcnstiges Backtracking zu Fehlalarmen oder Problemen f\u00fchren k\u00f6nnen. Das Testwerkzeug ","ref":""},{"kind":"code","text":"fail2ban-regex","ref":""},{"kind":"text","text":" validiert dabei einen Filter; es \u00e4ndert keine Produktionssperre.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Lokale Einstellungen geh\u00f6ren in ","ref":""},{"kind":"code","text":".local","ref":""},{"kind":"text","text":"-Dateien, nicht in ausgelieferte ","ref":""},{"kind":"code","text":".conf","ref":""},{"kind":"text","text":"-Dateien. So bleiben Anpassungen bei Paketupdates nachvollziehbar und werden nicht versehentlich \u00fcberschrieben. Nach jeder \u00c4nderung pr\u00fcfst du Logeingang, Jail-Status und die ausgel\u00f6ste Aktion getrennt; ein laufender Dienst allein belegt noch keine wirksame Sperrkette.","ref":""},{"kind":"citation","text":"","ref":"S5"}]}]},{"id":"proxy-und-webschutz","heading":"Proxies, echte Client-IP und Webschutz","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein CDN, Load Balancer oder Reverse Proxy ver\u00e4ndert, welche Adresse der Server sieht. Erh\u00e4lt der Webserver nur die IP des Proxys und protokolliert sie als Client, bewertet eine logbasierte Sperre im schlimmsten Fall den gemeinsamen Vermittler statt des angreifenden Besuchers. Vor jeder Jail, jedem Szenario und jeder WAF-Regel muss deshalb gekl\u00e4rt sein, wie die urspr\u00fcngliche Client-IP vertrauensw\u00fcrdig weitergegeben, akzeptiert und geloggt wird.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Vertrauenskette darf nicht einfach jeden eingehenden Header \u00fcbernehmen. Nur bekannte Proxy-Adressen d\u00fcrfen berechtigt sein, eine weitergereichte Adresse zu liefern; andernfalls k\u00f6nnten externe Clients die Identit\u00e4t f\u00e4lschen, auf der Erkennung und Sperre beruhen. Kontrolliere mit anonymisierten Logausz\u00fcgen, ob Anwendung und Zugriffslog dieselbe Client-IP zeigen. Erst danach ist eine Reaktion auf auff\u00e4llige HTTP-Ereignisse sinnvoll interpretierbar.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"IP-Sperre","ref":""},{"kind":"text","text":" auf Firewall-Ebene begrenzt Verbindungen, bevor sie die Anwendung erreichen, pr\u00fcft aber keinen Request-Inhalt. Ein WAF-f\u00e4higer CrowdSec-Bouncer kann dagegen am unterst\u00fctzten Reverse Proxy oder Webserver HTTP-Anfragen bewerten. Ein reiner Firewall-Bouncer besitzt diese WAF-Funktion nicht. Welche Variante passt, richtet sich daher nach dem tats\u00e4chlichen Eintrittspunkt des Verkehrs und der eingesetzten Komponente.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Logbasierte Erkennung bleibt au\u00dferdem nachtr\u00e4glich: Zuerst muss ein Ereignis eintreffen, korrekt protokolliert und als Muster erkannt werden. Sie verhindert weder einen einzelnen erfolgreichen Exploit ohne auff\u00e4lliges Folgeereignis noch ersetzt sie Patches und starke Anmeldung. F\u00fcr die Einordnung der Transport- und Proxyschicht hilft der Beitrag ","ref":""},{"kind":"internal_link","text":"HTTP\/2 Server Push im Hosting richtig einordnen","ref":"I3"},{"kind":"text","text":", weil vorgeschaltete Komponenten und ihr Verhalten stets zur Sicherheitsarchitektur passen m\u00fcssen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Praktisch bedeutet das: Entscheide zuerst, ob Netzwerkzugang, HTTP-Anfrage oder beide Ebenen gesch\u00fctzt werden sollen. Dokumentiere anschlie\u00dfend den Weg von der \u00f6ffentlichen Adresse \u00fcber den Proxy bis zum Logeintrag und teste Sperren mit einer freigegebenen Testadresse. So vermeidest du, dass eine scheinbar funktionierende ","ref":""},{"kind":"strong","text":"Intrusion Prevention","ref":""},{"kind":"text","text":" lediglich die falsche Infrastrukturkomponente trifft.","ref":""}]}]}],"3":[{"id":"verteilte-setups","heading":"Mehrere Server kontrolliert absichern","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Sobald mehrere Hosts, Container oder zentral erfasste Logs beteiligt sind, wird die Trennung von Erkennung und Durchsetzung bei CrowdSec praktisch. Die Security Engine kann Ereignisse aus definierten Quellen auswerten, w\u00e4hrend passende Remediation Components Entscheidungen an den jeweils gesch\u00fctzten Punkten umsetzen. CrowdSec dokumentiert daf\u00fcr auch verteilte Bereitstellungen und die Einbindung neben zentralisierten Logpipelines.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das reduziert nicht automatisch den Betriebsaufwand. Zuerst muss je Logquelle nachvollziehbar sein, welchem Dienst und welchem Mandanten sie zugeordnet ist. Danach braucht jeder Bouncer eine klar begrenzte Verbindung zur lokalen API sowie einen eigenen Zugangsschl\u00fcssel. Ein Reverse-Proxy-Bouncer sch\u00fctzt beispielsweise nicht zwangsl\u00e4ufig einen separat erreichbaren SSH-Dienst; die ","ref":""},{"kind":"strong","text":"Bouncer-Zuordnung","ref":""},{"kind":"text","text":" muss den tats\u00e4chlichen Datenwegen folgen.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr den Betrieb geh\u00f6ren daher Token-Verwaltung, Erreichbarkeit der API, Ablauf- und Fehlerprotokolle sowie die Pr\u00fcfung der Sperrwirkung ins Monitoring. Eine Decision ist nur ein Erkennungsergebnis, bis die vorgesehene Komponente sie abruft und durchsetzt. Bei \u00c4nderungen an Containern, Proxies oder Firewall-Regeln sollte diese Kette erneut gepr\u00fcft werden, damit eine funktionierende Erkennung nicht unbemerkt ohne wirksame Reaktion bleibt.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bestehen bereits eigene Chains und Regeln, kann der Firewall-Bouncer im ","ref":""},{"kind":"strong","text":"Set-only-Modus","ref":""},{"kind":"text","text":" ausschlie\u00dflich zuvor angelegte Sets verwalten. Die Verantwortung f\u00fcr Regeln und Chains bleibt dann bewusst beim Betreiber. Das passt zu kontrollierten Firewall-Konzepten und Compliance-Vorgaben, verlangt aber Verst\u00e4ndnis f\u00fcr die vorhandene Regelreihenfolge und ist keine Vereinfachung f\u00fcr Einsteiger.","ref":""},{"kind":"citation","text":"","ref":"S9"}]}]},{"id":"fehlersuche","heading":"Typische Fehler systematisch pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Bei einer ausbleibenden Sperre hilft eine feste Pr\u00fcfreihenfolge mehr als ein vorschneller Wechsel des Werkzeugs. Zuerst ist zu kl\u00e4ren, ob das erwartete Ereignis \u00fcberhaupt mit plausiblen Zeitstempeln eingeht. Anschlie\u00dfend muss die protokollierte Adresse wirklich die Client-IP sein. Erst dann l\u00e4sst sich sinnvoll pr\u00fcfen, ob Filter oder Szenario das Muster erkennen und daraus eine Sperrentscheidung entsteht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Fail2Ban folgt auf den Logeingang die Kontrolle von Jail, Filter und Trefferz\u00e4hlung. Eine Jail verbindet einen Filter mit einer oder mehreren Aktionen; bei dateibasierten Logpfaden werden beim Start nur bereits vorhandene Dateien ber\u00fccksichtigt, die zum Glob-Muster passen. F\u00fcr systemd-Journals sind Backend und Zugriffsrechte separat zu kontrollieren. Eine korrekt aussehende Jail sch\u00fctzt nicht, wenn sie die tats\u00e4chliche Quelle nicht liest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eigene regul\u00e4re Ausdr\u00fccke verdienen besondere Vorsicht. Logformatvarianten k\u00f6nnen echte Angriffe \u00fcbersehen lassen, w\u00e4hrend zu breite Muster legitime Zugriffe erfassen oder durch manipulierte Logzeilen fehlgeleitet werden k\u00f6nnen. Fail2Ban weist au\u00dferdem auf Risiken durch ineffizientes Backtracking hin. Pr\u00fcfe neue Filter deshalb zuerst mit anonymisierten, repr\u00e4sentativen Beispielzeilen und grenze Ausnahmen f\u00fcr sichere Verwaltungsnetze eng ein.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei CrowdSec ist nach einem Szenario-Treffer zus\u00e4tzlich die gesamte Durchsetzungskette zu pr\u00fcfen: Entsteht ein Alert, wird daraus eine Decision, und erreicht sie den vorgesehenen Bouncer? Ohne korrekt verbundenen Remediation Component bleibt die Decision allein ohne aktive Sperre. Danach muss die Firewall- oder Proxy-Wirkung am passenden Eintrittspunkt kontrolliert werden, ohne sich vom eigenen administrativen Zugang auszusperren.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"callout","variant":"warning","title":"Sichere Pr\u00fcfung vor der Sperre","runs":[{"kind":"text","text":"Teste \u00c4nderungen mit einem getrennten administrativen Zugang und dokumentierten Ausnahmen. Eine falsch zugeordnete Quell-IP oder ein zu weiter Filter kann berechtigte Nutzer aussperren.","ref":""}]}]},{"id":"auswahl-und-betrieb","heading":"Die passende L\u00f6sung dauerhaft betreiben","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fail2Ban passt h\u00e4ufig zu einem einzelnen Server mit klaren, lokalen Logmustern, etwa wiederholten SSH-Fehlversuchen. Seine Jails, Filter und Aktionen lassen sich direkt auf einen abgegrenzten Dienst beziehen. CrowdSec wird interessanter, wenn mehrere Logquellen, unterschiedliche Durchsetzungspunkte oder Webschutz mit einer geeigneten Komponente koordiniert werden sollen. Entscheidend ist der nachweisbare Datenweg, nicht ein pauschales Urteil \u00fcber das modernere Werkzeug.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beide L\u00f6sungen brauchen einen geregelten \u00c4nderungsprozess: Konfigurationen versionieren, neue Filter oder Szenarien zun\u00e4chst gegen bekannte Logbeispiele pr\u00fcfen und Sperrungen \u00fcberwachen. Updates verdienen denselben Blick. Fail2Ban 1.1.1 ist ein ver\u00f6ffentlichter Release-Tag; der Eintrag 1.1.2-dev bezeichnet dagegen einen Entwicklungsstand und belegt keine Eigenschaften stabiler Paketversionen. Lokale Anpassungen an abgeleiteten iptables-Aktionen sollten vor einem Update besonders gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Intrusion Prevention erg\u00e4nzt die Sicherheitsbasis, ersetzt sie aber nicht: zeitnahe Updates, starke und m\u00f6glichst mehrstufige Anmeldung, restriktive Firewall-Regeln, Backups und Logmonitoring bleiben erforderlich. Besonders bei Hosting-Umgebungen sollte auch die Anwendungslaufzeit gepflegt werden. Der Beitrag zu ","ref":""},{"kind":"internal_link","text":"CloudLinux Alt-PHP und seinen Sicherheitsaspekten","ref":"I2"},{"kind":"text","text":" zeigt, warum getrennte und gepflegte Runtime-Versionen Teil eines belastbaren Betriebsmodells sind.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die dauerhafte Wahl bleibt \u00fcberpr\u00fcfbar: \u00c4ndern sich Logformate, Proxy-Wege, Dienste oder die Serverzahl, kann ein zuvor passendes Konzept L\u00fccken bekommen. Halte deshalb fest, welche Ereignisse erkannt werden sollen, wo Entscheidungen erzwungen werden und wer Ausnahmen freigibt. Diese ","ref":""},{"kind":"strong","text":"Betriebsdisziplin","ref":""},{"kind":"text","text":" macht aus einer IP-Sperre eine kontrollierbare Schutzma\u00dfnahme statt einer unbeobachteten Firewall-\u00c4nderung.","ref":""}]}]}]},"plan":{"reader_question":"Wann ist Fail2Ban f\u00fcr einen Server die passendere Wahl, wann lohnt sich CrowdSec, und welche technischen Voraussetzungen sowie Grenzen gelten bei Erkennung und IP-Sperren?","sections":[{"id":"vergleichsrahmen","heading":"CrowdSec und Fail2Ban richtig einordnen","part":1,"target_words":270,"purpose":"Er\u00f6ffnet mit der praktischen Leserfrage statt einem pauschalen Siegerurteil. Erkl\u00e4rt anschlie\u00dfend den gemeinsamen Zweck der logbasierten Angriffserkennung und grenzt Intrusion Prevention von Patchmanagement, sicherer Anmeldung, Firewall-Grundregeln, Backups und Logmonitoring ab.","source_ids":["S1","S6"],"internal_link_ids":[]},{"id":"fail2ban-jails","heading":"Wie Fail2Ban Jails und Aktionen verkn\u00fcpft","part":1,"target_words":275,"purpose":"Erl\u00e4utert die Kette aus Logquelle, Filter, Trefferz\u00e4hlung, Jail und Aktion anhand von SSH-Fehlversuchen. Ein eigener Absatz erkl\u00e4rt, dass eine Jail genau einen Filter, aber mehrere Aktionen verwenden kann; ein weiterer grenzt lokale Anpassungen in .local-Dateien von \u00c4nderungen ausgelieferter .conf-Dateien ab.","source_ids":["S1","S5","S2"],"internal_link_ids":[]},{"id":"crowdsec-architektur","heading":"CrowdSecs Weg vom Log zur Sperre","part":1,"target_words":275,"purpose":"Erkl\u00e4rt die Komponentenfolge Acquisition, Parser, Szenario, Alert, Decision und Remediation Component. Verdeutlicht mit einem kurzen Ablaufbeispiel den Unterschied zwischen Erkennung und Durchsetzung und trennt lokale Szenario-Treffer von der optionalen Community Blocklist.","source_ids":["S6","S7","S4"],"internal_link_ids":[]},{"id":"entscheidungsmatrix","heading":"Die Werkzeuge nach Einsatzfall vergleichen","part":2,"target_words":290,"purpose":"F\u00fchrt eine informative Vergleichstabelle mit Erkennungsmodell, Durchsetzung, Webschutz, Anpassbarkeit, Threat Intelligence und Betriebsrisiko ein. Der begleitende Text ordnet die Kriterien ein und macht klar, dass ein WAF nur mit einem daf\u00fcr geeigneten CrowdSec-Bouncer m\u00f6glich ist, nicht mit einem Firewall-Bouncer allein.","source_ids":["S1","S2","S4","S7"],"internal_link_ids":[]},{"id":"vps-praxis","heading":"Praxisfall einzelner VPS mit SSH","part":2,"target_words":260,"purpose":"Beschreibt einen kleinen Linux-VPS mit SSH und klassischem Webstack als Entscheidungssituation. Strukturiert die Pr\u00fcfung in vorhandene Logs, passende Jail, vertrauensw\u00fcrdige Verwaltungsnetze, Firewall-Aktion und kontrollierten Rollout; betont dabei, dass eigene Regexe zuerst mit anonymisierten Beispielzeilen getestet werden.","source_ids":["S1","S2","S5"],"internal_link_ids":[]},{"id":"proxy-und-webschutz","heading":"Proxies, echte Client-IP und Webschutz","part":2,"target_words":285,"purpose":"Erkl\u00e4rt anhand eines vorgeschalteten CDN, Load Balancers oder Reverse Proxys, warum die korrekte Client-IP in Logs und Anwendung entscheidend ist. Stellt danach IP-Sperren auf Netzwerkebene dem HTTP- und WAF-Einsatz gegen\u00fcber und nennt die Grenzen einer nachtr\u00e4glichen logbasierten Reaktion.","source_ids":["S4","S6"],"internal_link_ids":["I3"]},{"id":"verteilte-setups","heading":"Mehrere Server kontrolliert absichern","part":3,"target_words":270,"purpose":"Ordnet CrowdSec f\u00fcr mehrere Hosts, Container und zentralisierte Logpipelines ein. Beschreibt die zus\u00e4tzlichen Betriebsaufgaben rund um API-Zugang, Tokens, Bouncer-Zuordnung und Monitoring; nennt den Set-only-Modus als Option f\u00fcr bestehende Firewall-Ketten, aber ausdr\u00fccklich nicht als Einsteigervereinfachung.","source_ids":["S8","S9","S4"],"internal_link_ids":[]},{"id":"fehlersuche","heading":"Typische Fehler systematisch pr\u00fcfen","part":3,"target_words":275,"purpose":"Baut eine praxisnahe Pr\u00fcfreihenfolge auf: Logeingang und Zeitstempel, echte Quell-IP, Filter- oder Szenario-Treffer, erzeugte Sperrentscheidung, Bouncer- beziehungsweise Firewall-Wirkung und sichere Ausnahmen. Behandelt separat Logformatvarianten, Regex-Risiken, Journal-Backends und fehlende CrowdSec-Bouncer.","source_ids":["S1","S2","S4"],"internal_link_ids":[]},{"id":"auswahl-und-betrieb","heading":"Die passende L\u00f6sung dauerhaft betreiben","part":3,"target_words":250,"purpose":"Schlie\u00dft mit einer nachvollziehbaren Auswahlhilfe f\u00fcr lokale, klar definierte Logmuster gegen\u00fcber komplexeren Web- und Mehrserverumgebungen. Nennt Update- und \u00c4nderungspr\u00fcfungen, insbesondere den Unterschied zwischen stabilem Fail2Ban-Release und Entwicklungsbranch, und verankert die Werkzeuge in einer umfassenderen Sicherheitsstrategie f\u00fcr Hosting- und Anwendungsbetrieb.","source_ids":["S3","S6"],"internal_link_ids":["I2"]}]},"repairs":4,"reviews":3,"issues":["Abschnitt \u201evergleichsrahmen\u201c, Behauptung \u201eBeide L\u00f6sungen dienen der logbasierten Angriffserkennung\u201c: Das ist f\u00fcr CrowdSec zu pauschal. CrowdSec kann neben Logereignissen auch HTTP-Anfragen \u00fcber AppSec-Regeln auswerten; au\u00dferdem k\u00f6nnen Decisions aus Blocklisten stammen. Korrekturrichtung: auf den hier verglichenen logbasierten Grundbetrieb begrenzen oder formulieren, dass beide Logs auswerten k\u00f6nnen, CrowdSec je nach Komponenten aber zus\u00e4tzliche Erkennungs- und Entscheidungsquellen besitzt.","Abschnitt \u201eproxy-und-webschutz\u201c, Behauptung \u201eLogbasierte Erkennung bleibt au\u00dferdem nachtr\u00e4glich\u201c im unmittelbaren Anschluss an die AppSec-Erkl\u00e4rung: Die Aussage ist f\u00fcr klassische Logauswertung richtig, darf aber nicht als Beschreibung des zuvor genannten CrowdSec-AppSec-Pfads verstanden werden, bei dem HTTP-Anfragen direkt zur Regelpr\u00fcfung weitergereicht werden. Korrekturrichtung: ausdr\u00fccklich mit \u201eKlassische logbasierte Erkennung\u201c beginnen und AppSec davon abgrenzen."],"guard":{"content_md5":"c389944268c778d6f2a72af43dbe4c50","title":"CrowdSec vs. Fail2Ban: Forskelle i praksis","slug":"crowdsec-vs-fail2ban-praktisk-anvendelse","excerpt":"CrowdSec og Fail2Ban blokerer mist\u00e6nkelige IP-adresser, men adskiller sig fra hinanden med hensyn til detektion, h\u00e5ndh\u00e6velse og driftsomkostninger. Sammenligningen viser, hvilken l\u00f8sning der passer bedst til VPS, proxy og distribuerede ops\u00e6tninger.","status":"draft","featured_media":0},"verify":null,"row_number":1917,"created_at":"2026-10-28T07:00:25+00:00","editorial_policy":{"version":"2.1.6","max_repairs":4,"review_model_from_attempt":2},"updated_at":"2026-10-28T07:09:01+00:00"},"_wh_make_research":"Recherche-Briefing: CrowdSec vs. Fail2Ban \u2013 Unterschiede im praktischen Einsatz\n\nLeserfrage und Ziel des sp\u00e4teren Artikels\n\nDer Artikel soll kl\u00e4ren, ob CrowdSec oder Fail2Ban f\u00fcr einen bestimmten Server besser geeignet ist \u2013 nicht abstrakt als \u201emoderner gegen klassisch\u201c, sondern entlang der Fragen: Welche Angriffe werden tats\u00e4chlich erkannt? Wo wird eine Sperre technisch durchgesetzt? Wie hoch sind Einrichtungs- und Pflegeaufwand? Und welche Grenzen bleiben trotz Intrusion Prevention bestehen?\n\nDie zentrale Einordnung lautet: Beide Werkzeuge k\u00f6nnen IP-Adressen nach erkannten Angriffsmustern sperren. Fail2Ban arbeitet dabei im Kern mit Jails, die Logdaten anhand von Filtern auswerten und bei Treffern konfigurierte Aktionen ausl\u00f6sen. Eine Jail verbindet genau einen Filter mit einer oder mehreren Aktionen. CrowdSec verarbeitet ebenfalls Logquellen, normalisiert sie \u00fcber Parser, bewertet Ereignisse anhand von Szenarien und erzeugt daraus Entscheidungen. Diese Entscheidungen werden anschlie\u00dfend durch getrennte Remediation Components, traditionell \u201eBouncer\u201c genannt, am Firewall-, Reverse-Proxy- oder Webserver-Level umgesetzt. ([manpages.debian.org](https:\/\/manpages.debian.org\/testing\/fail2ban\/jail.conf.5.en.html?utm_source=openai))\n\nDer Beitrag sollte daher nicht suggerieren, CrowdSec sei grunds\u00e4tzlich \u201ebesser\u201c. Fail2Ban ist f\u00fcr klar abgegrenzte, lokale Logmuster oft direkter und leichter nachvollziehbar. CrowdSec ist st\u00e4rker, wenn mehrere Logquellen, unterschiedliche Durchsetzungspunkte oder zus\u00e4tzliche Threat-Intelligence- und WAF-Funktionen sinnvoll zusammenkommen. Beide ersetzen weder Updates noch sichere Authentifizierung, Firewall-Regeln, Backups oder eine \u00dcberwachung der eigenen Logs.\n\nVoraussetzungen und fachliche Basis\n\nVoraussetzung ist ein Server, auf dem verwertbare Sicherheitsereignisse mit Zeitstempel und Quell-IP protokolliert werden. Typische Beispiele sind SSH-Authentifizierungsfehler, Webserver-Fehlerprotokolle oder Anmeldeversuche einer Anwendung. Gerade bei Fail2Ban ist die Qualit\u00e4t und Form des Logs entscheidend: Filter bestehen aus regul\u00e4ren Ausdr\u00fccken, und die offizielle Entwicklungsdokumentation warnt ausdr\u00fccklich davor, dass Filter Logformatvarianten ber\u00fccksichtigen sowie gegen fehlerhafte oder manipulierte Treffer abgesichert sein m\u00fcssen. ([fail2ban.readthedocs.io](https:\/\/fail2ban.readthedocs.io\/en\/latest\/filters.html?utm_source=openai))\n\nF\u00fcr beide L\u00f6sungen muss au\u00dferdem bereits feststehen, wo die Sperre greifen soll. Eine lokale Firewall-Sperre sch\u00fctzt Dienste auf dem Server, aber keine Anwendung, deren Verkehr vorher an einem externen CDN, Load Balancer oder Reverse Proxy endet. Werden Besucher-IP-Adressen nicht korrekt vom Proxy an die Anwendung weitergegeben und protokolliert, kann das Werkzeug im ung\u00fcnstigsten Fall die Proxy-IP statt des urspr\u00fcnglichen Clients bewerten. Das ist ein wichtiger Pr\u00fcfpunkt f\u00fcr die sp\u00e4tere Praxisanleitung.\n\nVersionsstand sauber abgrenzen\n\nDer sp\u00e4tere Artikel sollte konkrete Versionsst\u00e4nde nur nennen, wenn sie sich auf ein klar abgegrenztes Verhalten beziehen. Zum Recherchezeitpunkt 28. Oktober 2026 ist Fail2Ban 1.1.1 der j\u00fcngste ver\u00f6ffentlichte Release-Tag vom 15. August 2026. Der Branch beziehungsweise Changelog-Eintrag 1.1.2-dev ist dagegen ausdr\u00fccklich Entwicklungsversion und darf nicht als Nachweis f\u00fcr Funktionen stabiler Paketversionen dienen. Die 1.1.1-\u00c4nderungen enthalten zudem Kompatibilit\u00e4tshinweise f\u00fcr abgeleitete iptables-Aktionen; bestehende lokale Anpassungen verdienen deshalb vor einem Update besondere Pr\u00fcfung. ([github.com](https:\/\/github.com\/fail2ban\/fail2ban\/releases?utm_source=openai))\n\nBei CrowdSec sollten Security Engine, verwendete Collections beziehungsweise Szenarien und der konkrete Remediation Component getrennt betrachtet werden. Die F\u00e4higkeiten h\u00e4ngen nicht pauschal von \u201eCrowdSec\u201c ab: Ein Firewall-Bouncer kann IP-Verbindungen auf Netzwerkebene sperren, f\u00fchrt aber keine HTTP- und WAF-Pr\u00fcfung durch; daf\u00fcr wird ein WAF-f\u00e4higer Bouncer etwa f\u00fcr Nginx, OpenResty, Traefik oder HAProxy ben\u00f6tigt. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/bouncers\/intro\/?utm_source=openai))\n\nGesicherte Funktionsweise im Vergleich\n\nFail2Ban:\n\nFail2Ban organisiert Erkennung und Reaktion in Jails. Ein Filter sucht passende Logzeilen, z\u00e4hlt Fehlschl\u00e4ge innerhalb eines Zeitfensters und \u00fcbergibt passende Treffer an Aktionen. Die Aktionen f\u00fchren zum Beispiel Firewall-Befehle aus oder k\u00f6nnen andere Reaktionen ansto\u00dfen. Konfigurationsdateien trennen globale Einstellungen, Filter, Aktionen und Jails. Die Debian-Manpage empfiehlt, ausgelieferte .conf-Dateien nicht direkt zu \u00e4ndern, sondern lokale Anpassungen in .local-Dateien abzulegen, damit Updates einfacher bleiben. ([manpages.debian.org](https:\/\/manpages.debian.org\/buster\/fail2ban\/jail.conf.5.en.html?utm_source=openai))\n\nCrowdSec:\n\nBei CrowdSec l\u00e4uft die Kette \u00fcber Acquisition-Quellen, Parser, Szenarien, Alerts und Entscheidungen. Der Security Engine erkennt Verhalten auf Basis von Szenarien; ein Profil oder eine manuelle Regel erzeugt daraus eine Decision, etwa eine Sperre. Ein separater Bouncer ruft diese Entscheidungen \u00fcber die lokale API ab und erzwingt sie. Dieser Architekturunterschied ist praktisch relevant: Die Erkennungslogik und die Durchsetzung k\u00f6nnen getrennt laufen, auch auf unterschiedlichen Ebenen der Infrastruktur. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/u\/getting_started\/intro\/?utm_source=openai))\n\nZus\u00e4tzlich kann CrowdSec \u2013 nur bei freiwilliger Teilnahme \u2013 Signale f\u00fcr eine kuratierte Community Blocklist beitragen und im Gegenzug entsprechende Entscheidungen beziehen. Das ist ein zus\u00e4tzlicher pr\u00e4ventiver Mechanismus gegen bereits bekannte Angreifer, keine Garantie gegen neue oder unauff\u00e4llige Quellen. Der Artikel muss klar formulieren, dass lokale Szenario-Treffer und Community-Blocklist unterschiedliche Entscheidungsurspr\u00fcnge sind. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/concepts\/?utm_source=openai))\n\nRelevante Praxisf\u00e4lle\n\n1. Einzelner Linux-VPS mit SSH und klassischem Webstack\n\nWenn haupts\u00e4chlich SSH-Brute-Force-Versuche und wenige bekannte Logformate abgesichert werden sollen, ist Fail2Ban h\u00e4ufig die pragmatische Wahl. Der Administrator kann eine vorhandene SSH-Jail aktivieren, Logquelle und Firewall-Aktion pr\u00fcfen sowie Ausnahmen f\u00fcr vertrauensw\u00fcrdige Verwaltungsnetze definieren. Der Vorteil liegt in der transparenten, lokalen Konfiguration. Der Nachteil: Jede zus\u00e4tzliche Anwendung ben\u00f6tigt einen passenden und robust getesteten Filter.\n\n2. Webserver mit Nginx oder Traefik\n\nF\u00fcr einen \u00f6ffentlich erreichbaren Webserver reicht eine reine IP-Sperre nicht automatisch aus, um HTTP-Angriffe sinnvoll zu behandeln. CrowdSec kann hier je nach eingesetztem Bouncer eine Anwendungsebene erg\u00e4nzen: Die Dokumentation ordnet Nginx-, OpenResty-, Traefik- und HAProxy-SPOA-Komponenten dem WAF-\/AppSec-Einsatz zu. Ein Firewall-Bouncer allein bleibt dagegen bei Layer 3\/4 und kann keine Anfragen auf SQL-Injection-, XSS- oder virtuelle Patch-Regeln untersuchen. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/bouncers\/intro\/?utm_source=openai))\n\n3. Mehrere Server oder zentralisierte Logs\n\nBei mehreren Hosts, Containern oder einer zentralen Logpipeline ist CrowdSecs Aufteilung in Erkennung, lokale API und Remediation Components konzeptionell vorteilhaft. Die Dokumentation beschreibt explizit verteilte Deployments sowie den Betrieb neben zentralisierten Logpipelines. Der sp\u00e4tere Artikel sollte jedoch den zus\u00e4tzlichen Betriebsaufwand benennen: API-Zugang, Tokens, Bouncer-Konfiguration, Monitoring und die Zuordnung von Logquelle zu gesch\u00fctztem Dienst werden wichtiger. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/intro\/?utm_source=openai))\n\n4. Bestehendes individuelles Sperrkonzept\n\nWenn bereits eigene Firewall-Ketten, nftables-Sets oder Compliance-Vorgaben bestehen, darf kein Tool unkontrolliert Regeln anlegen. CrowdSecs Firewall-Bouncer bietet daf\u00fcr einen Set-only-Modus; in diesem Modus verwaltet er nur vorher definierte Sets, w\u00e4hrend Regeln und Chains Verantwortung des Betreibers bleiben. Das ist gut f\u00fcr kontrollierte Integrationen, aber keine Vereinfachung f\u00fcr Einsteiger. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/bouncers\/firewall\/?utm_source=openai))\n\nEntscheidungskriterien f\u00fcr eine Vergleichstabelle\n\nEine Tabelle im fertigen Artikel sollte mindestens diese Spalten enthalten:\n\nKriterium: Erkennungsmodell. Fail2Ban: Logfilter mit regul\u00e4ren Ausdr\u00fccken, organisiert in Jails. CrowdSec: Parser und verhaltensbasierte Szenarien mit nachgelagerten Decisions.\n\nKriterium: Sperrdurchsetzung. Fail2Ban: konfigurierbare Aktionen, oft lokale Firewall. CrowdSec: eigenst\u00e4ndige Bouncer f\u00fcr Firewall, Reverse Proxy, Webserver, CDN oder andere Integrationen.\n\nKriterium: Webschutz. Fail2Ban: Logbasierte Reaktion nach protokolliertem Ereignis. CrowdSec: zus\u00e4tzlich AppSec\/WAF m\u00f6glich, aber nur mit einem daf\u00fcr geeigneten Bouncer.\n\nKriterium: Threat Intelligence. Fail2Ban: keine eingebaute kollaborative Blockliste als Kernprinzip. CrowdSec: optionale Community Blocklist bei Teilnahme.\n\nKriterium: Anpassung. Fail2Ban: eigener Filter pro Logformat sehr flexibel, aber Regex-Qualit\u00e4t ist sicherheitskritisch. CrowdSec: eigene Parser, Szenarien und Collections m\u00f6glich, daf\u00fcr komplexeres Komponentenmodell.\n\nKriterium: Betriebsrisiko. Bei beiden: Fehlkonfigurationen k\u00f6nnen legitime Nutzer aussperren; die Werkzeuge erkennen nur, was korrekt geloggt, eingelesen und passend konfiguriert ist.\n\nGrenzen und typische Fehler\n\nDer Artikel sollte insbesondere vor f\u00fcnf Fehlern warnen:\n\nErstens: Eine Sperre als vollst\u00e4ndigen Schutz darstellen. Beide L\u00f6sungen reagieren auf erkennbare Muster oder bekannte Entscheidungen; sie verhindern keine Sicherheitsl\u00fccke, die ohne auff\u00e4llige Logs ausgenutzt wird.\n\nZweitens: Ungepr\u00fcfte Regexe bei Fail2Ban \u00fcbernehmen. Fail2Bans eigene Filterdokumentation beschreibt Risiken von zu weit gefassten Mustern, Log-Injection und Denial-of-Service-artigem Backtracking. Eigene Filter m\u00fcssen mit echten, anonymisierten Beispielzeilen getestet werden; ein Terminalbefehl wie fail2ban-regex ist dabei ausdr\u00fccklich als Testwerkzeug zu kennzeichnen, nicht als Produktions\u00e4nderung. ([fail2ban.readthedocs.io](https:\/\/fail2ban.readthedocs.io\/en\/latest\/filters.html?utm_source=openai))\n\nDrittens: Logs oder Journal-Anbindung falsch konfigurieren. Eine Fail2Ban-Jail kann nur eine Filterdefinition verwenden, aber mehrere Aktionen besitzen. Bei dateibasierten Logpfaden z\u00e4hlen nur beim Start vorhandene Dateien, die auf ein Glob-Muster passen; bei systemd-Journals sind Backend- und Zugriffsdetails gesondert zu pr\u00fcfen. ([manpages.debian.org](https:\/\/manpages.debian.org\/testing\/fail2ban\/jail.conf.5.en.html?utm_source=openai))\n\nViertens: CrowdSec ohne Bouncer als aktive Sperre ansehen. Der Security Engine erkennt und erstellt Entscheidungen, aber die Durchsetzung ben\u00f6tigt einen korrekt verbundenen Remediation Component. Dieser ben\u00f6tigt \u00fcblicherweise einen API-Schl\u00fcssel beziehungsweise eine abgesicherte API-Verbindung. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/docs\/bouncers\/intro\/?utm_source=openai))\n\nF\u00fcnftens: Messwerte erfinden oder Paket-Maxima verallgemeinern. Aussagen wie \u201egeringer Ressourcenverbrauch\u201c d\u00fcrfen nur als Herstellerempfehlung oder dokumentierte Mindestvoraussetzung erscheinen, nicht als unabh\u00e4ngiger Performancevergleich. CrowdSec nennt f\u00fcr den Security Engine unter anderem eine CPU, 100 MB freien RAM und 1 GB freien Speicher als empfohlene Mindestwerte; daraus folgt kein allgemeines Kapazit\u00e4tsversprechen f\u00fcr jeden Server. ([docs.crowdsec.net](https:\/\/docs.crowdsec.net\/u\/getting_started\/intro\/?utm_source=openai))\n\nSichere Beispiele und Darstellungsform\n\nGeeignet sind kurze, klar markierte Konfigurationsausschnitte ohne echte IPs, Hostnamen, API-Schl\u00fcssel oder produktive Pfade. Ein Fail2Ban-Beispiel sollte zeigen, dass Anpassungen in einer .local-Datei erfolgen und vor Aktivierung mit vorhandenen Logbeispielen gepr\u00fcft werden. Ein CrowdSec-Beispiel sollte die Komponentenbeziehung erkl\u00e4ren: Logquelle \u2192 Szenario \u2192 Decision \u2192 Bouncer, ohne einen echten Bouncer-Key auszugeben.\n\nEin Leistungsdiagramm ist nicht zu empfehlen, weil die Recherche keine vergleichbaren, reproduzierbaren Messdaten zu CPU-, Speicher- oder Erkennungsraten f\u00fcr identische Umgebungen liefert. Sinnvoller sind eine Architektur-Gegen\u00fcberstellung und die oben beschriebene Entscheidungstabelle.","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/manpages.debian.org\/testing\/fail2ban\/jail.conf.5.en.html?utm_source=openai","title":"jail.conf(5) \u2014 fail2ban \u2014 Debian testing \u2014 Debian-manualsider"},"S2":{"id":"S2","url":"https:\/\/fail2ban.readthedocs.io\/en\/latest\/filters.html?utm_source=openai","title":"Udvikling af filtre \u2014 Fail2Ban 0.9.0.dev-dokumentation"},"S3":{"id":"S3","url":"https:\/\/github.com\/fail2ban\/fail2ban\/releases?utm_source=openai","title":"Udgivelser \u00b7 fail2ban\/fail2ban \u00b7 GitHub"},"S4":{"id":"S4","url":"https:\/\/docs.crowdsec.net\/docs\/bouncers\/intro\/?utm_source=openai","title":"CrowdSec-afhj\u00e6lpningskomponenter (ogs\u00e5 kaldet \u00bbBouncers\u00ab) | CrowdSec"},"S5":{"id":"S5","url":"https:\/\/manpages.debian.org\/buster\/fail2ban\/jail.conf.5.en.html?utm_source=openai","title":"jail.conf(5) \u2014 fail2ban \u2014 Debian buster \u2014 Debian-manualsider"},"S6":{"id":"S6","url":"https:\/\/docs.crowdsec.net\/u\/getting_started\/intro\/?utm_source=openai","title":"Indledning | CrowdSec"},"S7":{"id":"S7","url":"https:\/\/docs.crowdsec.net\/docs\/concepts\/?utm_source=openai","title":"Begreber | CrowdSec"},"S8":{"id":"S8","url":"https:\/\/docs.crowdsec.net\/docs\/intro\/?utm_source=openai","title":"Indledning | CrowdSec"},"S9":{"id":"S9","url":"https:\/\/docs.crowdsec.net\/docs\/bouncers\/firewall\/?utm_source=openai","title":"IP-blokering i Linux-firewall med CrowdSec | CrowdSec"}},"_wh_make_usage":{"research":{"input_tokens":21526,"output_tokens":3126,"response_id":"resp_0033713be0b0b9fa016ae19d8cbf2487d29aeb310482f9a4bc","model":"gpt-5.6-terra","search_calls":2},"plan_a3a87b10547200d2a28769d6e2b63898":{"input_tokens":6065,"output_tokens":1194,"response_id":"resp_09cac0c1edceba97016ae19db83f3087d2b392ac7df3b62078","model":"gpt-5.6-terra","search_calls":0},"part1_5d78ed900fa838206c2095a428472a3c":{"input_tokens":8328,"output_tokens":1926,"response_id":"resp_02bd03c38714daf6016ae19dc8a39087d280c4b6f376ea405c","model":"gpt-5.6-terra","search_calls":0},"part2_782b4befffff883800f16b1081c46867":{"input_tokens":8361,"output_tokens":2170,"response_id":"resp_0d521fccc4b1b821016ae19de0cacc87d28431d0d923d2d977","model":"gpt-5.6-terra","search_calls":0},"part3_37c36d8b83491593eb002bde9b265c4d":{"input_tokens":8385,"output_tokens":1697,"response_id":"resp_016a48cecbcb3cf1016ae19dfb991c87d2b0b240037960f450","model":"gpt-5.6-terra","search_calls":0},"package_b442340bcb8817c830646e61e2a35d96":{"input_tokens":13938,"output_tokens":1528,"response_id":"resp_02655ecc8d533caf016ae19e11de3487d2a801f0f3aa2971c9","model":"gpt-5.6-terra","search_calls":0},"review_d5f54248444584361d1baf91cbde865f":{"input_tokens":47749,"output_tokens":2566,"response_id":"resp_03daf4966825109b016ae19e2553a887d28ed62bd8a3b63784","model":"gpt-5.6-sol","search_calls":4},"repair_1c1fbcdd0a8f44c875f96a3ba2b58ecd":{"input_tokens":30157,"output_tokens":5402,"response_id":"resp_03f758f06f8f5326016ae19e8a1d0887d2862fd4cc51c8d321","model":"gpt-5.6-terra","search_calls":1},"repair_7d93512922f0340a1c7198be0bbd2a12":{"input_tokens":25628,"output_tokens":1125,"response_id":"resp_000622a51c81565f016ae19eb2508c87d28cd590a6991bb151","model":"gpt-5.6-sol","search_calls":1},"review_b319b15c0d3af87e9e3b30171c534c79":{"input_tokens":34752,"output_tokens":1216,"response_id":"resp_0811053a9343d30a016ae19ec3214487d2afabd7187a6862dc","model":"gpt-5.6-sol","search_calls":2},"repair_857d7eebe11e0d1fd9873de4ddae585f":{"input_tokens":25717,"output_tokens":905,"response_id":"resp_0fdca62f5ee0ed3e016ae19f230e0487d2bdc12b4a7dce6ac6","model":"gpt-5.6-sol","search_calls":1},"repair_a69cbec65572208b992b114eecbeed12":{"input_tokens":25813,"output_tokens":1204,"response_id":"resp_0bb000f94ff439ce016ae19f4284d487d29bee08e850680725","model":"gpt-5.6-sol","search_calls":1},"review_2041ba6049b9ccefc1082cf579ae9437":{"input_tokens":32996,"output_tokens":1444,"response_id":"resp_034587960b54fa02016ae19f56d63887d2830bf696c80fdbc2","model":"gpt-5.6-sol","search_calls":2}},"_wh_make_last_error":"","_wh_make_write_intent":{"before":{"content_md5":"dd99c71afa1ad6b3520e21b16166951e","title":"CrowdSec vs. Fail2Ban: Forskelle i praksis","slug":"crowdsec-vs-fail2ban-praktisk-anvendelse","excerpt":"CrowdSec og Fail2Ban blokerer mist\u00e6nkelige IP-adresser, men adskiller sig fra hinanden med hensyn til detektion, h\u00e5ndh\u00e6velse og driftsomkostninger. Sammenligningen viser, hvilken l\u00f8sning der passer bedst til VPS, proxy og distribuerede ops\u00e6tninger.","status":"draft","featured_media":0},"expected":{"content_md5":"c389944268c778d6f2a72af43dbe4c50","title":"CrowdSec vs. Fail2Ban: Forskelle i praksis","slug":"crowdsec-vs-fail2ban-praktisk-anvendelse","excerpt":"CrowdSec og Fail2Ban blokerer mist\u00e6nkelige IP-adresser, men adskiller sig fra hinanden med hensyn til detektion, h\u00e5ndh\u00e6velse og driftsomkostninger. Sammenligningen viser, hvilken l\u00f8sning der passer bedst til VPS, proxy og distribuerede ops\u00e6tninger.","status":"draft","featured_media":0},"at":"2026-10-28T07:08:05+00:00"},"_wh_make_design_version":"2.1.18","rank_math_title":"CrowdSec vs. Fail2Ban im Praxisvergleich","_wh_make_doc":{"title":"CrowdSec vs. Fail2Ban: Forskelle i praksis","slug":"crowdsec-vs-fail2ban-praktisk-anvendelse","excerpt":"CrowdSec og Fail2Ban blokerer mist\u00e6nkelige IP-adresser, men adskiller sig fra hinanden med hensyn til detektion, h\u00e5ndh\u00e6velse og driftsomkostninger. Sammenligningen viser, hvilken l\u00f8sning der passer bedst til VPS, proxy og distribuerede ops\u00e6tninger.","seo":{"title":"CrowdSec vs. Fail2Ban \u2013 en sammenligning i praksis","description":"CrowdSec eller Fail2Ban? Find ud af, hvordan \u00bbjails\u00ab, scenarier, \u00bbbouncer\u00ab, webbeskyttelse og driftsomkostninger adskiller sig i den daglige serverdrift.","focus_keyword":"CrowdSec vs Fail2Ban"},"lead":[{"kind":"text","text":"F\u00fcr einen einzelnen Server mit klaren SSH-Logs ist ","ref":""},{"kind":"strong","text":"Fail2Ban","ref":""},{"kind":"text","text":" oft der direktere Weg zur lokalen Sperre. CrowdSec eignet sich besonders, wenn mehrere Logquellen, Proxies oder getrennte Schutzpunkte koordiniert werden m\u00fcssen. Entscheidend sind nicht Produktnamen, sondern verwertbare Client-IP-Logs, ein passender Durchsetzungspunkt und \u00fcberpr\u00fcfbare Ausnahmen. Beide Werkzeuge reagieren auf erkennbare Muster; sie ersetzen weder Patches noch sichere Anmeldung, Firewall-Grundregeln, Backups oder Monitoring.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"}],"images":{"hero":{"prompt":"Fotorealistisches redaktionelles Smartphonefoto in einer leicht genutzten kleinen Servernische eines B\u00fcros: eine kr\u00e4ftig gebaute Erwachsene zwischen 65 und 75 Jahren mit hellem Hautton und l\u00e4ngeren welligen graumelierten Haaren pr\u00fcft konzentriert an einem offenen 19-Zoll-Netzwerkschrank die Kabelbeschriftung neben einem kleinen Firewall-Ger\u00e4t, ohne lesbare Texte oder Logos. Halbnahe seitliche Perspektive, ein Laptop ist nur geschlossen auf einem Rollwagen sichtbar. Vorhandenes warmes Raumlicht, nat\u00fcrliche Farben, kleine Staubspuren und Kabelkan\u00e4le, normale Sch\u00e4rfentiefe, leicht unperfekter Bildausschnitt, glaubw\u00fcrdiger Amateurfoto-Look.","alt":"Person pr\u00fcft in einer kleinen Servernische Firewall- und Netzwerkanschl\u00fcsse.","caption":"KI-generiertes Symbolbild: Der Schutzpunkt einer Sperre muss zum tats\u00e4chlichen Datenweg passen.","filename_base":"crowdsec-fail2ban-schutzpunkt","section_id":"","after_block":0},"detail1":{"prompt":"Fotorealistisches Smartphone-Nahfoto ohne Menschen: auf einem gebrauchten Schreibtisch liegen ein kleines Notizheft, ein unbeschrifteter USB-Sicherheitsstick, ein schwarzer Stift und ein aufgeklappter Ordner mit neutralen, unlesbaren Formularseiten neben einem ausgeschalteten kompakten Linux-Mini-PC. Das Motiv vermittelt sorgf\u00e4ltige lokale Konfigurationspflege f\u00fcr Jails und Logpr\u00fcfung, ohne sichtbare Bildschirmoberfl\u00e4che, Logos oder lesbare W\u00f6rter. Weiches Tageslicht vom Fenster, nat\u00fcrliche Farben, feine Gebrauchsspuren auf Holz und Metall, normale Sch\u00e4rfentiefe und ungestellter Amateurfoto-Ausschnitt.","alt":"Arbeitsplatz mit Notizen und Mini-PC f\u00fcr die lokale Sicherheitskonfiguration.","caption":"KI-generiertes Symbolbild: Lokale Jails und gepr\u00fcfte Logquellen machen Fail2Ban nachvollziehbar.","filename_base":"fail2ban-jails-logpruefung","section_id":"fail2ban-jails","after_block":4},"detail2":{"prompt":"Fotorealistisches redaktionelles Smartphonefoto in einem normalen Technikraum: zwei deutlich unterschiedliche Erwachsene stehen seitlich vor einem Patchpanel und einem kompakten Server- oder Netzwerkhost, auf dem ein vorgeschalteter Proxy-Dienst laufen kann. Eine schlanke Frau um 40 mit dunklem lockigem Kurzhaar und Brille zeigt auf eine einzelne Netzwerkverbindung; daneben pr\u00fcft ein kr\u00e4ftiger Mann um 60 mit dunkler Haut, kahlem Kopf und Arbeitshemd aufmerksam einen kleinen Statusindikator. Keine lesbaren Displays, Texte oder Logos. Mittlere Distanz, vorhandenes neutrales Deckenlicht, sichtbare Gebrauchsspuren, nat\u00fcrliche Hautstruktur, normale Sch\u00e4rfentiefe und beil\u00e4ufige Arbeitsatmosph\u00e4re.","alt":"Zwei Personen pr\u00fcfen Netzwerkverbindungen an einem Server- und Netzwerkhost.","caption":"KI-generiertes Symbolbild: Bei Proxy-Setups m\u00fcssen Client-IP und Sperrpunkt gemeinsam gepr\u00fcft werden.","filename_base":"proxy-client-ip-sperrpunkt","section_id":"proxy-und-webschutz","after_block":2}},"chart":null,"social":{"facebook":"CrowdSec oder Fail2Ban? Der Praxisvergleich zeigt, wie sich Erkennung, Sperrpunkt, Webschutz und Betriebsaufwand bei VPS-, Proxy- und Multi-Server-Setups unterscheiden.","instagram":"Fail2Ban-Jails oder CrowdSec mit Bouncern? Entscheidend sind Logquelle, echte Client-IP und der Schutzpunkt \u2013 nicht das Etikett \u201emodern\u201c.","tiktok":"CrowdSec vs. Fail2Ban in 3 Fragen: Was wird geloggt? Wo wird gesperrt? Wer pr\u00fcft Ausnahmen und Wirkung?","youtube":"CrowdSec vs. Fail2Ban erkl\u00e4rt: Jails, Szenarien, Bouncer und die richtigen Entscheidungen f\u00fcr VPS, Reverse Proxy und mehrere Server.","threads":"Fail2Ban ist f\u00fcr klar abgegrenzte lokale Logmuster oft sehr transparent. CrowdSec spielt seine Architektur aus, wenn Erkennung und Durchsetzung \u00fcber mehrere Schutzpunkte verteilt werden m\u00fcssen.","x":"CrowdSec vs. Fail2Ban: Nicht \u201emodern gegen klassisch\u201c, sondern Logquelle, echte Client-IP, Sperrpunkt und Pflegeaufwand entscheiden. F\u00fcr lokale SSH-Logs ist Fail2Ban oft direkt; CrowdSec hilft bei mehreren Quellen, Proxies und Bouncern."},"avatar_script":"CrowdSec und Fail2Ban verfolgen ein \u00e4hnliches Ziel: Auff\u00e4llige IP-Adressen anhand von Logereignissen erkennen und Sperren ausl\u00f6sen. Der wichtige Unterschied liegt im Aufbau. Fail2Ban b\u00fcndelt Filter und Aktionen in Jails und ist damit f\u00fcr klar abgegrenzte Dienste auf einem einzelnen Server oft leicht zu kontrollieren. CrowdSec trennt Erkennung, Entscheidungen und Durchsetzung \u00fcber Remediation Components. Das kann bei Proxies, Webschutz oder mehreren Hosts sinnvoll sein, verlangt aber saubere Zuordnung und Monitoring. Beide L\u00f6sungen wirken nur mit korrekten Logs, echten Client-IP-Adressen und einem Sperrpunkt vor dem gesch\u00fctzten Dienst. Sie erg\u00e4nzen Updates, sichere Anmeldung und Backups, ersetzen diese Grundlagen aber nicht.","version_note":"Recherche- und Versionsstand: 28. Oktober 2026. Fail2Ban 1.1.1 wurde am 15. August 2026 als Release ver\u00f6ffentlicht. CrowdSec-Funktionen sind nach Security Engine, Szenarien und eingesetzter Remediation Component getrennt bewertet.","sections":[{"id":"vergleichsrahmen","heading":"CrowdSec und Fail2Ban richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die passende Wahl h\u00e4ngt nicht davon ab, welches Werkzeug als moderner gilt, sondern von Server, Logdaten und gew\u00fcnschtem Durchsetzungspunkt. F\u00fcr einen einzelnen SSH-Dienst mit klaren Fehlermeldungen kann Fail2Ban sehr direkt sein. CrowdSec wird interessant, wenn mehrere Logquellen, unterschiedliche Schutzebenen oder verteilte Systeme gemeinsam ausgewertet und abgesichert werden sollen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beide L\u00f6sungen dienen der ","ref":""},{"kind":"strong","text":"logbasierten Angriffserkennung","ref":""},{"kind":"text","text":": Sie lesen sicherheitsrelevante Ereignisse wie fehlgeschlagene Anmeldungen, ordnen sie einem Muster zu und k\u00f6nnen eine IP-Adresse sperren lassen. Fail2Ban verbindet daf\u00fcr Filter und Aktionen in Jails. CrowdSec verarbeitet eingelesene Daten \u00fcber seine Security Engine und erzeugt Entscheidungen, deren Umsetzung eine separate Remediation Component \u00fcbernimmt.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist, was tats\u00e4chlich protokolliert wird. Ohne Zeitstempel, verwertbare Quell-IP und passende Logquelle kann keines der Werkzeuge einen Angriff zuverl\u00e4ssig zuordnen. Eine Sperre sch\u00fctzt au\u00dferdem nur dort, wo sie technisch greift: Eine lokale Firewall-Regel hilft nicht automatisch, wenn der Datenverkehr zuvor an einem externen Reverse Proxy oder Load Balancer endet.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Als ","ref":""},{"kind":"strong","text":"Intrusion Prevention","ref":""},{"kind":"text","text":" erg\u00e4nzen beide Werkzeuge eine Sicherheitsarchitektur, ersetzen sie aber nicht. Sicherheitsupdates schlie\u00dfen bekannte Schwachstellen, starke und m\u00f6glichst mehrstufige Anmeldung begrenzt Kontenmissbrauch, restriktive Firewall-Grundregeln reduzieren erreichbare Dienste. Backups begrenzen Sch\u00e4den nach einem Vorfall, w\u00e4hrend fortlaufendes Logmonitoring auch Probleme sichtbar macht, die keine Sperre ausl\u00f6sen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die praktische Frage lautet daher: Welche Muster m\u00fcssen erkannt werden, an welcher Stelle soll die Reaktion erfolgen und wer pflegt Regeln, Ausnahmen sowie Logs? Erst danach l\u00e4sst sich begr\u00fcndet entscheiden, ob eine \u00fcberschaubare lokale Jail-Konfiguration gen\u00fcgt oder ob CrowdSecs getrennte Komponenten f\u00fcr die Infrastruktur einen erkennbaren Zusatznutzen bringen.","ref":""}]}]},{"id":"fail2ban-jails","heading":"Wie Fail2Ban Jails und Aktionen verkn\u00fcpft","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fail2Ban organisiert Erkennung und Reaktion in ","ref":""},{"kind":"strong","text":"Jails","ref":""},{"kind":"text","text":". Bei SSH liest eine Jail beispielsweise Authentifizierungsprotokolle oder das Systemjournal. Ein Filter sucht darin nach fehlgeschlagenen Anmeldungen einer Quell-IP. \u00dcberschreitet diese innerhalb des konfigurierten Zeitfensters die erlaubte Zahl von Fehlversuchen, behandelt Fail2Ban den Treffer als Sperrfall.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die anschlie\u00dfende Aktion bestimmt die Reaktion. H\u00e4ufig erg\u00e4nzt sie eine Regel in der lokalen Firewall, m\u00f6glich sind jedoch auch andere konfigurierte Aktionen. Damit ist die Kette nachvollziehbar: Logquelle liefert Zeilen, der Filter erkennt relevante Ereignisse, die Jail z\u00e4hlt sie und die Aktion setzt die vorgesehene Gegenma\u00dfnahme um. Das erleichtert die Fehlersuche, sofern Logformat und Filter zusammenpassen.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Jail verwendet genau einen Filter, kann jedoch mehrere Aktionen ausf\u00fchren. So kann derselbe festgestellte SSH-Sperrfall etwa eine Firewall-Aktion ausl\u00f6sen und zus\u00e4tzlich eine Benachrichtigung ansto\u00dfen. Mehrere Aktionen machen die Reaktion flexibler, \u00e4ndern aber nicht die Grundlage der Erkennung: Alle h\u00e4ngen am selben Filter und dessen Interpretation der Logzeilen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Sorgfalt brauchen selbst geschriebene ","ref":""},{"kind":"strong","text":"Regex-Filter","ref":""},{"kind":"text","text":". Die verf\u00fcgbare Filterdokumentation ist ausdr\u00fccklich ein Entwicklungsleitfaden f\u00fcr Fail2Ban 0.9.0.dev und kein Funktionsnachweis f\u00fcr eine bestimmte stabile Paketversion. Ihre allgemeinen Hinweise bleiben f\u00fcr die Filterentwicklung n\u00fctzlich: Reale Logformatvarianten m\u00fcssen abgedeckt werden, w\u00e4hrend Muster nicht zu gro\u00dfz\u00fcgig passen d\u00fcrfen. Neue Filter sollten deshalb zun\u00e4chst mit anonymisierten Beispielzeilen gepr\u00fcft werden, bevor sie Sperren ausl\u00f6sen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Lokale \u00c4nderungen geh\u00f6ren grunds\u00e4tzlich in Dateien mit der Endung ","ref":""},{"kind":"code","text":".local","ref":""},{"kind":"text","text":", nicht in ausgelieferte ","ref":""},{"kind":"code","text":".conf","ref":""},{"kind":"text","text":"-Dateien. Damit bleiben eigene Werte f\u00fcr Logpfade, erlaubte Netze oder Aktionen bei Paketupdates besser nachvollziehbar und werden nicht einfach \u00fcberschrieben. Vor dem Rollout sollte au\u00dferdem gepr\u00fcft werden, ob die gew\u00e4hlte Logquelle tats\u00e4chlich existiert und die erwarteten Ereignisse enth\u00e4lt.","ref":""},{"kind":"citation","text":"","ref":"S5"}]}]},{"id":"crowdsec-architektur","heading":"CrowdSecs Weg vom Log zur Sperre","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"CrowdSec trennt Erkennung und Durchsetzung deutlicher in einzelne Komponenten. Zuerst definieren Acquisition-Quellen, welche Logs oder Ereignisstr\u00f6me eingelesen werden. Parser normalisieren diese Daten; Szenarien bewerten anschlie\u00dfend Muster und Verhalten. Bei einem passenden Muster entsteht ein Alert. Die Local API kann auf Grundlage konfigurierter Profile daraus eine Decision erzeugen, etwa eine zeitlich begrenzte IP-Sperre.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein kurzes Beispiel verdeutlicht den Ablauf: Authentifizierungsfehler eines Dienstes gelangen \u00fcber die Acquisition in die Engine. Parser erkennen Felder wie Zeit, Dienst und Quell-IP; ein Szenario bewertet wiederholte Fehlversuche. Der daraus erzeugte Alert wird an die Local API \u00fcbergeben, die mit einem passenden Profil eine Decision erstellen kann. Erst eine angeschlossene ","ref":""},{"kind":"strong","text":"Remediation Component","ref":""},{"kind":"text","text":" setzt diese Entscheidung am vorgesehenen Schutzpunkt durch.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S7"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Komponente wird traditionell auch Bouncer genannt. Je nach Variante kann sie Decisions beispielsweise an einer Firewall, einem Reverse Proxy oder einem Webserver durchsetzen. Die Security Engine allein erkennt Vorf\u00e4lle und verwaltet \u00fcber die Local API Alerts sowie Decisions, sperrt jedoch keinen Datenverkehr. Ohne korrekt angebundene Remediation Component bleibt eine erzeugte Decision eine Information ohne aktive Netz- oder Anwendungssperre.","ref":""},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Praktisch erlaubt die Trennung, Erkennung und Sperre auf verschiedene Infrastrukturpunkte zu verteilen. Sie erh\u00f6ht jedoch den Betriebsumfang: Logquelle, lokale API-Verbindung, Berechtigungen und Bouncer-Zuordnung m\u00fcssen zusammenpassen. Vor allem bei mehreren Diensten ist zu pr\u00fcfen, ob die Remediation Component wirklich vor dem Dienst sitzt, dessen Zugriffe sie aufgrund einer Decision blockieren soll.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Von lokalen Szenario-Treffern zu unterscheiden ist die optionale ","ref":""},{"kind":"strong","text":"Community Blocklist","ref":""},{"kind":"text","text":". Bei freiwilliger Teilnahme k\u00f6nnen Signale beigetragen und kuratierte Entscheidungen zu bereits bekannten Angreifern bezogen werden. Das ist eine zus\u00e4tzliche pr\u00e4ventive Quelle, aber weder ein Ersatz f\u00fcr lokale Erkennung noch eine Zusage, neue oder unauff\u00e4llige Angreifer zu erfassen. Die Herkunft einer Sperrentscheidung sollte im Betrieb daher nachvollziehbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]},{"id":"entscheidungsmatrix","heading":"Die Werkzeuge nach Einsatzfall vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Entscheidung zwischen CrowdSec und Fail2Ban beginnt mit dem Schutzpunkt, nicht mit einem allgemeinen Qualit\u00e4tsurteil. Fail2Ban wertet Logzeilen mit Filtern aus und verkn\u00fcpft diese in Jails mit Aktionen. CrowdSec verarbeitet Logquellen \u00fcber Parser und Szenarien zu Alerts; die Local API kann daraus mit Profilen Decisions erzeugen, welche getrennte Remediation Components durchsetzen. Beide bleiben auf korrekt erfasste Ereignisse angewiesen.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"table","caption":"Vergleich der Werkzeuge nach technischem Einsatzfall","headers":["Kriterium","Fail2Ban","CrowdSec"],"rows":[["Erkennungsmodell","Filter mit regul\u00e4ren Ausdr\u00fccken in Jails; Treffer k\u00f6nnen innerhalb eines Zeitfensters gez\u00e4hlt werden.","Parser bereiten Ereignisse auf; Szenarien bewerten Verhalten und erzeugen Alerts. Profile k\u00f6nnen daraus Decisions erstellen."],["Sperrdurchsetzung","Konfigurierbare Aktionen, h\u00e4ufig an der lokalen Firewall.","Getrennte Remediation Components setzen Decisions etwa an Firewall, Reverse Proxy oder Webserver durch."],["Webschutz","Reagiert auf bereits protokollierte Ereignisse.","Ein geeigneter AppSec-Bouncer leitet HTTP-Anfragen zur Pr\u00fcfung an die AppSec-Komponente der Security Engine weiter; ein Firewall-Bouncer pr\u00fcft keine HTTP-Inhalte."],["Anpassung","Eigene Filter sind m\u00f6glich, m\u00fcssen aber Logformat und Fehlertreffer sorgf\u00e4ltig ber\u00fccksichtigen.","Parser, Szenarien und Collections sind anpassbar; das Komponentenmodell erh\u00f6ht den Integrationsaufwand."],["Threat Intelligence","Keine kollaborative Blockliste als Kernbestandteil des Jail-Modells.","Bei freiwilliger Teilnahme kann eine Community Blocklist zus\u00e4tzliche Decisions liefern."],["Betriebsrisiko","Unpassende Filter oder Aktionen k\u00f6nnen legitime Zugriffe sperren.","Falsch zugeordnete oder fehlende Remediation Components lassen Decisions wirkungslos oder sperren am falschen Punkt."]],"source_ids":["S1","S2","S4","S6","S7"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Tabelle ist keine Rangliste. F\u00fcr wenige, gut verstandene Logmuster ist eine lokale Jail oft leichter zu pr\u00fcfen: Logquelle, Filter und Firewall-Aktion liegen nah beieinander. Sobald mehrere Quellen, vorgeschaltete Systeme oder unterschiedliche Durchsetzungspunkte beteiligt sind, kann die Trennung von Erkennung und Reaktion bei CrowdSec sinnvoll sein. Sie verlangt jedoch auch, die Beziehungen der Komponenten nachvollziehbar zu betreiben.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beim Kriterium Webschutz ist die technische Ebene entscheidend. Ein CrowdSec Firewall-Bouncer setzt Decisions auf Netzwerkebene durch, untersucht jedoch keinen HTTP-Inhalt. Bei einem unterst\u00fctzten AppSec-Setup \u00fcbergibt ein daf\u00fcr geeigneter Bouncer HTTP-Anfragen an die AppSec-Komponente der Security Engine; dort werden die AppSec-Regeln ausgewertet. Diese Pr\u00fcfung erg\u00e4nzt sichere Entwicklung und zeitnahe Updates, statt bekannte Schwachstellen zu beheben.","ref":""},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S7"}]}]},{"id":"vps-praxis","heading":"Praxisfall einzelner VPS mit SSH","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Auf einem kleinen Linux-VPS mit SSH und einem \u00fcberschaubaren Webstack ist Fail2Ban h\u00e4ufig eine gut kontrollierbare Wahl. Zuerst pr\u00fcfst du, ob fehlgeschlagene SSH-Anmeldungen mit Zeitstempel und Quell-IP zuverl\u00e4ssig im vorgesehenen Log oder Journal erscheinen. Ohne diese Daten kann eine Jail weder Fehlversuche belastbar z\u00e4hlen noch die richtige Adresse an eine Aktion \u00fcbergeben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Danach w\u00e4hlst du eine passende SSH-Jail und kontrollierst Filter, Zeitfenster, zul\u00e4ssige Fehlversuche und Sperrdauer gegen die eigene Anmelderealit\u00e4t. Eine Jail verbindet einen Filter mit einer oder mehreren Aktionen. Dadurch l\u00e4sst sich die Sperre beispielsweise an die lokale Firewall delegieren, ohne die Erkennungslogik zu duplizieren. F\u00fcr einen einzelnen Host h\u00e4lt diese Kopplung den Ablauf meist transparent.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Verwaltungsnetze, Notfallzug\u00e4nge und Monitoring-Systeme brauchen bewusst definierte Ausnahmen. Diese sollten eng begrenzt sein und nicht pauschal gro\u00dfe Provider-Netze freistellen. Pr\u00fcfe au\u00dferdem vor dem Rollout, welche Firewall-Regeln die Aktion tats\u00e4chlich anlegt und ob IPv4 und IPv6 zum Serverkonzept passen. Ein kontrollierter Start mit beobachteten Logs ist sicherer als eine sofortige, lange Sperrdauer.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eigene ","ref":""},{"kind":"strong","text":"Regex-Filter","ref":""},{"kind":"text","text":" sind erst dann sinnvoll, wenn kein vorhandener Filter das konkrete Logformat abdeckt. Der verf\u00fcgbare Leitfaden f\u00fcr die Filterentwicklung ist als Dokumentation zu Fail2Ban 0.9.0.dev gekennzeichnet und belegt daher keine stabile Version wie 1.1.1. Seine Entwicklungshinweise sind dennoch praktisch: Pr\u00fcfe neue Muster mit anonymisierten echten Beispielzeilen und mit \u00e4hnlichen, aber legitimen Zeilen. Das Testwerkzeug ","ref":""},{"kind":"code","text":"fail2ban-regex","ref":""},{"kind":"text","text":" dient dabei der Filtervalidierung; es \u00e4ndert keine Produktionssperre.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Lokale Einstellungen geh\u00f6ren in ","ref":""},{"kind":"code","text":".local","ref":""},{"kind":"text","text":"-Dateien, nicht in ausgelieferte ","ref":""},{"kind":"code","text":".conf","ref":""},{"kind":"text","text":"-Dateien. So bleiben Anpassungen bei Paketupdates nachvollziehbar und werden nicht versehentlich \u00fcberschrieben. Nach jeder \u00c4nderung pr\u00fcfst du Logeingang, Jail-Status und die ausgel\u00f6ste Aktion getrennt; ein laufender Dienst allein belegt noch keine wirksame Sperrkette.","ref":""},{"kind":"citation","text":"","ref":"S5"}]}]},{"id":"proxy-und-webschutz","heading":"Proxies, echte Client-IP und Webschutz","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein CDN, Load Balancer oder Reverse Proxy ver\u00e4ndert, welche Adresse der Server sieht. Erh\u00e4lt der Webserver nur die IP des Proxys und protokolliert sie als Client, bewertet eine logbasierte Sperre im schlimmsten Fall den gemeinsamen Vermittler statt des angreifenden Besuchers. Vor jeder Jail, jedem Szenario und jeder WAF-Regel muss deshalb gekl\u00e4rt sein, wie die urspr\u00fcngliche Client-IP vertrauensw\u00fcrdig weitergegeben, akzeptiert und geloggt wird.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Vertrauenskette darf nicht einfach jeden eingehenden Header \u00fcbernehmen. Nur bekannte Proxy-Adressen d\u00fcrfen berechtigt sein, eine weitergereichte Adresse zu liefern; andernfalls k\u00f6nnten externe Clients die Identit\u00e4t f\u00e4lschen, auf der Erkennung und Sperre beruhen. Kontrolliere mit anonymisierten Logausz\u00fcgen, ob Anwendung und Zugriffslog dieselbe Client-IP zeigen. Dokumentiere au\u00dferdem die Header-Weitergabe zwischen Edge und Origin. Erst nach der Pr\u00fcfung der Client-IP ist eine Reaktion auf auff\u00e4llige HTTP-Ereignisse sinnvoll interpretierbar.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"IP-Sperre","ref":""},{"kind":"text","text":" auf Firewall-Ebene begrenzt Verbindungen, bevor sie die Anwendung erreichen, pr\u00fcft aber keinen Request-Inhalt. Bei einem unterst\u00fctzten CrowdSec-AppSec-Setup leitet ein daf\u00fcr geeigneter Bouncer HTTP-Anfragen an die AppSec-Komponente der Security Engine weiter; dort werden die passenden AppSec-Regeln gepr\u00fcft. Ein reiner Firewall-Bouncer setzt dagegen Decisions auf Netzwerkebene durch und besitzt keine HTTP-Pr\u00fcfung. Welche Variante passt, richtet sich nach dem tats\u00e4chlichen Eintrittspunkt des Verkehrs und den eingesetzten Komponenten.","ref":""},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Logbasierte Erkennung bleibt au\u00dferdem nachtr\u00e4glich: Zuerst muss ein Ereignis eintreffen, korrekt protokolliert und als Muster erkannt werden. Sie verhindert weder einen einzelnen erfolgreichen Exploit ohne auff\u00e4lliges Folgeereignis noch ersetzt sie Patches und starke Anmeldung. Vorgeschaltete Komponenten m\u00fcssen deshalb mit ihren vertrauensw\u00fcrdigen Weitergaben, Logs und Schutzpunkten zur gesamten Sicherheitsarchitektur passen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Praktisch bedeutet das: Entscheide zuerst, ob Netzwerkzugang, HTTP-Anfrage oder beide Ebenen gesch\u00fctzt werden sollen. Dokumentiere anschlie\u00dfend den Weg von der \u00f6ffentlichen Adresse \u00fcber den Proxy bis zum Logeintrag und teste Sperren mit einer freigegebenen Testadresse. So vermeidest du, dass eine scheinbar funktionierende ","ref":""},{"kind":"strong","text":"Intrusion Prevention","ref":""},{"kind":"text","text":" lediglich die falsche Infrastrukturkomponente trifft.","ref":""}]}]},{"id":"verteilte-setups","heading":"Mehrere Server kontrolliert absichern","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Sobald mehrere Hosts, Container oder zentral erfasste Logs beteiligt sind, wird die Trennung von Erkennung und Durchsetzung bei CrowdSec praktisch. Die Security Engine kann Ereignisse aus definierten Quellen auswerten, w\u00e4hrend passende Remediation Components Entscheidungen an den jeweils gesch\u00fctzten Punkten umsetzen. CrowdSec dokumentiert daf\u00fcr auch verteilte Bereitstellungen und die Einbindung neben zentralisierten Logpipelines.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das reduziert nicht automatisch den Betriebsaufwand. Zuerst muss je Logquelle nachvollziehbar sein, welchem Dienst und welchem Mandanten sie zugeordnet ist. Danach braucht jeder Bouncer eine klar begrenzte Verbindung zur lokalen API sowie einen eigenen Zugangsschl\u00fcssel. Ein Reverse-Proxy-Bouncer sch\u00fctzt beispielsweise nicht zwangsl\u00e4ufig einen separat erreichbaren SSH-Dienst; die ","ref":""},{"kind":"strong","text":"Bouncer-Zuordnung","ref":""},{"kind":"text","text":" muss den tats\u00e4chlichen Datenwegen folgen.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr den Betrieb geh\u00f6ren daher Token-Verwaltung, Erreichbarkeit der API, Ablauf- und Fehlerprotokolle sowie die Pr\u00fcfung der Sperrwirkung ins Monitoring. Eine Decision ist nur ein Erkennungsergebnis, bis die vorgesehene Komponente sie abruft und durchsetzt. Bei \u00c4nderungen an Containern, Proxies oder Firewall-Regeln sollte diese Kette erneut gepr\u00fcft werden, damit eine funktionierende Erkennung nicht unbemerkt ohne wirksame Reaktion bleibt.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bestehen bereits eigene Chains und Regeln, kann der Firewall-Bouncer im ","ref":""},{"kind":"strong","text":"Set-only-Modus","ref":""},{"kind":"text","text":" ausschlie\u00dflich zuvor angelegte Sets verwalten. Die Verantwortung f\u00fcr Regeln und Chains bleibt dann bewusst beim Betreiber. Das passt zu kontrollierten Firewall-Konzepten und Compliance-Vorgaben, verlangt aber Verst\u00e4ndnis f\u00fcr die vorhandene Regelreihenfolge und ist keine Vereinfachung f\u00fcr Einsteiger.","ref":""},{"kind":"citation","text":"","ref":"S9"}]}]},{"id":"fehlersuche","heading":"Typische Fehler systematisch pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Bei einer ausbleibenden Sperre hilft eine feste Pr\u00fcfreihenfolge mehr als ein vorschneller Wechsel des Werkzeugs. Zuerst ist zu kl\u00e4ren, ob das erwartete Ereignis \u00fcberhaupt mit plausiblen Zeitstempeln eingeht. Anschlie\u00dfend muss die protokollierte Adresse wirklich die Client-IP sein. Erst dann l\u00e4sst sich sinnvoll pr\u00fcfen, ob Filter oder Szenario das Muster erkennen und daraus eine Sperrentscheidung entsteht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Fail2Ban folgt auf den Logeingang die Kontrolle von Jail, Filter und Trefferz\u00e4hlung. Eine Jail verbindet einen Filter mit einer oder mehreren Aktionen; bei dateibasierten Logpfaden werden beim Start nur bereits vorhandene Dateien ber\u00fccksichtigt, die zum Glob-Muster passen. F\u00fcr systemd-Journals sind Backend und Zugriffsrechte separat zu kontrollieren. Eine korrekt aussehende Jail sch\u00fctzt nicht, wenn sie die tats\u00e4chliche Quelle nicht liest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eigene regul\u00e4re Ausdr\u00fccke verdienen besondere Vorsicht. Der verf\u00fcgbare Filterleitfaden ist als Entwicklungsdokumentation f\u00fcr Fail2Ban 0.9.0.dev gekennzeichnet und nicht als versionsgleicher Nachweis f\u00fcr Fail2Ban 1.1.1 zu lesen. F\u00fcr die Entwicklung eigener Filter ist seine Empfehlung dennoch sinnvoll: Pr\u00fcfe Muster zun\u00e4chst mit anonymisierten, repr\u00e4sentativen Beispielzeilen und mit bewusst nicht passenden Zeilen. So lassen sich Logformatvarianten und m\u00f6gliche Fehlzuordnungen vor einer produktiven Sperre erkennen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei CrowdSec ist nach einem Szenario-Treffer zus\u00e4tzlich die gesamte Durchsetzungskette zu pr\u00fcfen: Entsteht ein Alert, kann die Local API daraus anhand eines Profils eine Decision erzeugen, und erreicht sie die vorgesehene Remediation Component? Ohne korrekt verbundenen Bouncer bleibt die Decision allein ohne aktive Sperre. Danach muss die Firewall- oder Proxy-Wirkung am passenden Eintrittspunkt kontrolliert werden, ohne sich vom eigenen administrativen Zugang auszusperren.","ref":""},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"callout","variant":"warning","title":"Sichere Pr\u00fcfung vor der Sperre","runs":[{"kind":"text","text":"Teste \u00c4nderungen mit einem getrennten administrativen Zugang und dokumentierten Ausnahmen. Eine falsch zugeordnete Quell-IP oder ein zu weiter Filter kann berechtigte Nutzer aussperren.","ref":""}]}]},{"id":"auswahl-und-betrieb","heading":"Die passende L\u00f6sung dauerhaft betreiben","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fail2Ban passt h\u00e4ufig zu einem einzelnen Server mit klaren, lokalen Logmustern, etwa wiederholten SSH-Fehlversuchen. Seine Jails, Filter und Aktionen lassen sich direkt auf einen abgegrenzten Dienst beziehen. CrowdSec wird interessanter, wenn mehrere Logquellen, unterschiedliche Durchsetzungspunkte oder Webschutz mit einer geeigneten Komponente koordiniert werden sollen. Entscheidend ist der nachweisbare Datenweg, nicht ein pauschales Urteil \u00fcber das modernere Werkzeug.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Beide L\u00f6sungen brauchen einen geregelten \u00c4nderungsprozess: Konfigurationen versionieren, neue Filter oder Szenarien zun\u00e4chst gegen bekannte Logbeispiele pr\u00fcfen und Sperrungen \u00fcberwachen. Updates verdienen denselben Blick. Fail2Ban 1.1.1 wurde am 15. August 2026 als Release ver\u00f6ffentlicht. Lokale Anpassungen und die tats\u00e4chlich eingesetzten Firewall-Aktionen sollten vor einem Update mit der Zielumgebung abgeglichen werden.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Intrusion Prevention erg\u00e4nzt die Sicherheitsbasis, ersetzt sie aber nicht: zeitnahe Updates, starke und m\u00f6glichst mehrstufige Anmeldung, restriktive Firewall-Regeln, Backups und Logmonitoring bleiben erforderlich. Besonders bei Hosting-Umgebungen sollte auch die Anwendungslaufzeit gepflegt werden. Der Beitrag zu ","ref":""},{"kind":"internal_link","text":"CloudLinux Alt-PHP und seinen Sicherheitsaspekten","ref":"I2"},{"kind":"text","text":" zeigt, warum getrennte und gepflegte Runtime-Versionen Teil eines belastbaren Betriebsmodells sind.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Webdiensten geh\u00f6rt au\u00dferdem der vollst\u00e4ndige Weg vom Client \u00fcber CDN oder Reverse Proxy bis zum Origin in die Betriebsdokumentation. \u00c4nderungen an Protokollen und Auslieferungswegen k\u00f6nnen beeinflussen, welche Komponente Verbindungen annimmt und welche Adresse im Log erscheint. Der Beitrag \u00fcber ","ref":""},{"kind":"internal_link","text":"HTTP\/2 Server Push im Hosting","ref":"I3"},{"kind":"text","text":" erl\u00e4utert beispielhaft, wie Browser, CDN und Webserver bei der Auslieferung zusammenspielen. F\u00fcr die Sperrlogik bleibt unabh\u00e4ngig davon entscheidend, dass die vertrauensw\u00fcrdig \u00fcbergebene Client-IP am richtigen Schutzpunkt verf\u00fcgbar ist.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die dauerhafte Wahl bleibt \u00fcberpr\u00fcfbar: \u00c4ndern sich Logformate, Proxy-Wege, Dienste oder die Serverzahl, kann ein zuvor passendes Konzept L\u00fccken bekommen. Halte deshalb fest, welche Ereignisse erkannt werden sollen, wo Decisions durchgesetzt werden und wer Ausnahmen freigibt. Diese ","ref":""},{"kind":"strong","text":"Betriebsdisziplin","ref":""},{"kind":"text","text":" macht aus einer IP-Sperre eine kontrollierbare Schutzma\u00dfnahme statt einer unbeobachteten Firewall-\u00c4nderung.","ref":""}]}]}]},"_wh_make_word_report":{"words":2506,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":60,"section_words":{"vergleichsrahmen":246,"fail2ban-jails":262,"crowdsec-architektur":284,"entscheidungsmatrix":323,"vps-praxis":268,"proxy-und-webschutz":297,"verteilte-setups":211,"fehlersuche":270,"auswahl-und-betrieb":285}},"_wh_make_review":{"verdict":"needs_review","issues":["Abschnitt \u201evergleichsrahmen\u201c, Behauptung \u201eBeide L\u00f6sungen dienen der logbasierten Angriffserkennung\u201c: Das ist f\u00fcr CrowdSec zu pauschal. CrowdSec kann neben Logereignissen auch HTTP-Anfragen \u00fcber AppSec-Regeln auswerten; au\u00dferdem k\u00f6nnen Decisions aus Blocklisten stammen. Korrekturrichtung: auf den hier verglichenen logbasierten Grundbetrieb begrenzen oder formulieren, dass beide Logs auswerten k\u00f6nnen, CrowdSec je nach Komponenten aber zus\u00e4tzliche Erkennungs- und Entscheidungsquellen besitzt.","Abschnitt \u201eproxy-und-webschutz\u201c, Behauptung \u201eLogbasierte Erkennung bleibt au\u00dferdem nachtr\u00e4glich\u201c im unmittelbaren Anschluss an die AppSec-Erkl\u00e4rung: Die Aussage ist f\u00fcr klassische Logauswertung richtig, darf aber nicht als Beschreibung des zuvor genannten CrowdSec-AppSec-Pfads verstanden werden, bei dem HTTP-Anfragen direkt zur Regelpr\u00fcfung weitergereicht werden. Korrekturrichtung: ausdr\u00fccklich mit \u201eKlassische logbasierte Erkennung\u201c beginnen und AppSec davon abgrenzen."],"checked_source_ids":["S1","S2","S3","S4","S7","S9"],"summary":"Der Artikel ist \u00fcberwiegend fachlich plausibel und trennt Fail2Ban-Jails, CrowdSec Security Engine, Decisions und Remediation Components sauber. Fail2Ban 1.1.1 mit Ver\u00f6ffentlichungsdatum 15. August 2026, die Ein-Filter-\/Mehrere-Aktionen-Regel, .local-Anpassungen sowie die Hinweise zu Log-Globs sind gest\u00fctzt. Auch die CrowdSec-Trennung zwischen Erkennung und Durchsetzung sowie die AppSec-Einordnung sind grunds\u00e4tzlich korrekt. Vor der Freigabe sollten jedoch zwei Formulierungen pr\u00e4zisiert werden, damit CrowdSec nicht insgesamt auf nachtr\u00e4gliche, logbasierte Erkennung reduziert wird. Die Bildkonzepte sind als KI-generierte Symbolbilder gekennzeichnet und zeigen keine fachlich irref\u00fchrende Topologie; ein Chart ist nicht vorhanden."},"_wh_make_review_doc_hash":"e30688ca49d9e4eeaf5926d34f32302e0b21a2a8535167f0d87513a088efb763","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":null,"_edit_lock":null,"_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"93","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":null,"_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":null,"rank_math_contentai_score":null,"ilj_limitincominglinks":null,"ilj_maxincominglinks":null,"ilj_limitoutgoinglinks":null,"ilj_maxoutgoinglinks":null,"ilj_limitlinksperparagraph":null,"ilj_linksperparagraph":null,"ilj_blacklistdefinition":null,"ilj_linkdefinition":null,"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"CrowdSec vs Fail2Ban","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":null,"_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"CrowdSec oder Fail2Ban? Erfahren Sie, wie sich Jails, Szenarien, Bouncer, Webschutz und Betriebsaufwand im Serveralltag unterscheiden.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/22010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/comments?post=22010"}],"version-history":[{"count":5,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/22010\/revisions"}],"predecessor-version":[{"id":22015,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/22010\/revisions\/22015"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/media?parent=22010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/categories?post=22010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/tags?post=22010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}