CrowdSec : protéger un serveur Linux ou un site web contre les attaques répétitives

Tout serveur exposé sur Internet reçoit en permanence des tentatives de connexion SSH, des scans de vulnérabilités et des essais de mots de passe sur la page de connexion WordPress. Pris un par un, ces essais sont anodins ; leur répétition use les ressources et finit parfois par réussir. CrowdSec, solution open source développée par une entreprise française, détecte ces comportements dans vos journaux et bloque automatiquement leurs auteurs, en s’appuyant aussi sur les signalements de toute sa communauté. Installation et réglages pour un serveur Linux ou un site web.

L’essentiel en 30 secondes

• CrowdSec analyse les journaux (SSH, Nginx, Apache, WordPress…) et repère les comportements malveillants grâce à des scénarios.
• Des composants de remédiation (pare-feu, serveur web, CDN) appliquent les blocages.
• Une liste de blocage communautaire, alimentée par des centaines de milliers d’installations, bloque les adresses connues avant même qu’elles ne vous attaquent.
• Il remplace avantageusement Fail2ban, avec une logique comparable mais plus de scénarios et le partage de renseignements.
• Gratuit pour l’essentiel ; des offres payantes ajoutent des listes premium et une console avancée.

Comment fonctionne CrowdSec

Le Security Engine lit les journaux grâce à des analyseurs (parsers), puis applique des scénarios : par exemple « plus de 5 échecs SSH en 30 secondes » ou « exploration de nombreuses URL inexistantes ». Lorsqu’un scénario se déclenche, il produit une décision (bannir l’adresse IP pendant 4 heures, par défaut). Les bouncers, ou composants de remédiation, interrogent ces décisions et bloquent le trafic : au niveau du pare-feu, du serveur web, d’un proxy ou d’un service comme Cloudflare.

Les signalements anonymisés remontent à CrowdSec, qui les recoupe pour construire une liste de blocage communautaire, redistribuée aux participants. Un composant AppSec ajoute une fonction de pare-feu applicatif (WAF), avec des règles de correctifs virtuels pour des vulnérabilités connues.

Installation sur un serveur Debian ou Ubuntu

curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec

À l’installation, CrowdSec détecte les services présents (SSH, Nginx, Apache…) et installe les collections correspondantes. Vérifiez :

sudo cscli collections list
sudo cscli metrics

Ajoutez les collections manquantes, par exemple pour WordPress ou un serveur web :

sudo cscli collections install crowdsecurity/nginx
sudo cscli collections install crowdsecurity/wordpress
sudo systemctl reload crowdsec

Installer un composant de remédiation

Sans bouncer, CrowdSec détecte mais ne bloque rien. Le plus universel est le bouncer de pare-feu :

sudo apt install crowdsec-firewall-bouncer-nftables
sudo cscli bouncers list

Pour un site web, un bouncer au niveau de Nginx ou OpenResty peut afficher une page de blocage ou un CAPTCHA plutôt qu’une coupure sèche, utile si des clients partagent une adresse IP avec un attaquant. Pour WordPress, un module dédié existe aussi. Sur un hébergement mutualisé sans accès root, le choix se limite souvent au module applicatif.

Commandes du quotidien

Éviter de se bloquer soi-même

Avant tout, déclarez vos adresses de confiance (adresse fixe du bureau, VPN, supervision) dans une liste d’autorisation. Les versions récentes proposent la commande cscli allowlists ; les plus anciennes utilisent un fichier de liste blanche dans les postoverflows. Testez ensuite depuis une adresse extérieure, par exemple avec plusieurs connexions SSH échouées volontaires, et vérifiez que la décision apparaît.

La console CrowdSec

En inscrivant gratuitement votre installation sur la console en ligne (cscli console enroll), vous visualisez les alertes de plusieurs serveurs, souscrivez à des listes de blocage et gérez les décisions depuis un même écran. Les informations transmises concernent les attaques détectées, pas le contenu de vos journaux.

CrowdSec dans une stratégie de sécurité

CrowdSec réduit fortement le bruit et bloque les attaques opportunistes, mais il ne remplace pas les fondamentaux : SSH par clé uniquement, mises à jour, durcissement de WordPress, sauvegardes. Il complète bien une plateforme de détection comme Wazuh, qui conserve l’historique et corrèle les événements de tout le parc.

Questions fréquentes

CrowdSec ou Fail2ban ?

Fail2ban reste simple et efficace pour un service isolé. CrowdSec apporte une bibliothèque de scénarios plus riche, des bouncers variés, une console multi-serveurs et la liste communautaire, qui bloque des attaquants avant qu’ils ne vous visent.

Mes données partent-elles chez CrowdSec ?

Seules les informations sur les attaques détectées (adresse IP de l’attaquant, scénario, horodatage) sont partagées pour alimenter la liste communautaire. Le partage est la contrepartie de l’accès à cette liste.

Peut-on l’utiliser sur Windows ?

Oui, une version Windows existe, avec un bouncer pour le pare-feu Windows, notamment pour protéger un serveur RDP exposé. L’exposition directe de RDP reste toutefois à éviter : voir sécuriser les accès RDP.

Quel impact sur les performances ?

Faible : le moteur est écrit en Go et consomme quelques dizaines de mégaoctets de mémoire sur un petit serveur.

Sources

• CrowdSec, documentation officielle.
• CrowdSec Hub (collections, scénarios, bouncers).
• Dépôt GitHub CrowdSec.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous sécurisons vos serveurs et sites web dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.