CrowdSec-Integration

CrowdSec kann gebannte IPs über sein eingebautes http-Plugin an das Netzwerk melden. Plugin-Konfiguration anlegen:

# /etc/crowdsec/notifications/http.yaml
type: http
name: http_provider_tools
log_level: info
format: |
  {"ip":"{{.Alert.Source.IP}}","service":"{{.Alert.Scenario}}"}
url: https://reports.provider.tools/api/v1/abuse/report
method: POST
headers:
  Content-Type: application/json
  X-Report-Token: ar_IHRTOKEN   # optional

Danach das Plugin in /etc/crowdsec/profiles.yaml registrieren:

name: report_to_provider_tools
filters:
  - Alert.Remediation == true && Alert.GetScope() == "Ip"
notifications:
  - http_provider_tools

CrowdSec neu starten:

sudo systemctl restart crowdsec

CrowdSec-Szenario-Namen (z.B. crowdsecurity/ssh-bf) werden automatisch auf unsere Dienst-Taxonomie gemappt, wo möglich. Unbekannte Szenarien werden ignoriert.