crowdsecurity/crowdsec Docker 镜像 - 轩辕镜像

Crowdsec Docker镜像文档

快速参考

• 文档和帮助：[***]
• Crowdsec概念：[***]
• 问题反馈：[***]

什么是Crowdsec

Crowdsec是一款开源、轻量级的代理工具，用于检测和响应不良行为。它还能自动受益于全球社区范围的IP信誉数据库。

如何使用此镜像

镜像版本

以下所有镜像均在Docker Hub上提供，支持386、amd64、arm/v6、arm/v7、arm64架构。

Alpine

• crowdsecurity/crowdsec:{version}

推荐用于生产环境的最新稳定版本。也可在GitHub（ghcr.io）获取。

• crowdsecurity/crowdsec:dev

用于开发和测试，基于master分支构建。

自v1.4.2起：

• crowdsecurity/crowdsec:slim

体积减少60%，不包含通知器插件和GeoIP数据库。如果需要决策中的这些详细信息，可在容器内运行cscli hub upgrade在运行时下载GeoIP数据库。

Debian（自v1.3.3起）

• crowdsecurity/crowdsec:{version}-debian
• crowdsecurity/crowdsec:latest-debian

Debian版本包含对systemd和journalctl的支持。

自定义

您可以使用Dockerfile和Dockerfile-debian构建自定义镜像。

例如，如果需要不带插件通知器的Debian版本：

console
$ docker build -f Dockerfile.debian --target slim .

支持的目标值：full、geoip、plugins、slim。

注意：对于版本<1.5.0的Crowdsec，语法为：

console
$ docker build -f Dockerfile.debian --build-arg=BUILD_ENV=slim .

必要配置

卷

自CrowdSec 1.7.0起，/var/lib/crowdsec/data/必须挂载为卷。如果未挂载此目录，容器将无法启动。

Journalctl（仅Debian镜像）

要使用journalctl作为日志流，无论是否使用DSN环境变量，都需要将主机的journal日志挂载到容器：

-v /var/log/journal:/run/log/journal

日志收集和处理

集合是一个很好的起点：[***]

在hub中查找集合、场景、解析器和后处理规则：[***]

• 通过环境变量指定要安装的集合、场景、解析器、后处理规则（默认安装crowdsecurity/linux）
• 挂载卷以指定Crowdsec应收集的日志文件

日志采集（推荐：每个数据源一个文件）

/etc/crowdsec/acquis.d/目录中的文件将日志映射到提供的解析器。更多信息：[***]

该目录可能包含例如：

ssh.yaml：

yaml
filenames:
 - /logs/auth.log
 - /logs/syslog
labels:
  type: syslog

apache.yaml：

yaml
filename: /logs/apache2/*.log
labels:
  type: apache2

labels.type：如果日志来自syslog，使用syslog；否则，请查看集合文档获取相关类型。

您可以从主机绑定目录或将其放在Docker卷中，前者在添加更多应用时更容易更新。

注意：在版本<1.5中，采集目录默认未配置。您可以通过挂载/etc/crowdsec/config.yaml.local文件添加：

yaml
crowdsec_service:
  acquisition_dir: /etc/crowdsec/acquis.d

日志采集（单文件 - 已弃用）

1.5.0之前，建议将采集配置放在/etc/crowdsec/acquis.yaml中。如果您愿意，仍然可以这样做，但每个数据源一个文件更有效。

yaml
filenames:
 - /logs/auth.log
 - /logs/syslog
labels:
  type: syslog
---
filename: /logs/apache2/*.log
labels:
  type: apache2

推荐配置

卷

我们强烈建议将Crowdsec配置和数据库持久化到命名卷中，或从主机绑定挂载，以避免在容器销毁和重建、版本更新等情况下丢失凭据和决策数据。

• 凭据和配置：/etc/crowdsec
• 日志采集：/etc/crowdsec/acquis.d和/或/etc/crowdsec/acquis.yaml（是的，它们可以嵌套在/etc/crowdsec中）
• 使用SQLite时的数据库（默认）：/var/lib/crowdsec/data

启动Crowdsec实例

shell
docker run -d \
    -v crowdsec_config:/etc/crowdsec \
    -v local_path_to_crowdsec_config/acquis.d:/etc/crowdsec/acquis.d \
    -v local_path_to_crowdsec_config/acquis.yaml:/etc/crowdsec/acquis.yaml \
    -v crowdsec_data:/var/lib/crowdsec/data \
    -v /var/log/auth.log:/logs/auth.log:ro \
    -v /var/log/syslog.log:/logs/syslog.log:ro \
    -v /var/log/apache:/logs/apache:ro \
    -e COLLECTIONS="crowdsecurity/apache2 crowdsecurity/sshd" \
    -p 8080:8080 -p 6060:6060 \
    --name crowdsec crowdsecurity/crowdsec

...或使用docker-compose

查看使用docker-compose的完整堆栈示例：[***]

如何扩展此镜像

完整配置

容器使用特定的docker配置构建。如果您需要更改配置，且docker变量（见下文）不够用，可以从主机挂载/etc/crowdsec/config.yaml.local。该文件应仅包含您要更改的config.yaml选项，如覆盖值中所述。

不再推荐绑定挂载完整的config.yaml文件，您也应该不需要这样做。

通知

如果要使用通知系统，必须使用完整镜像（非slim），并至少挂载自定义的profiles.yaml和通知配置到/etc/crowdsec/notifications

shell
docker run -d \
    -v ./profiles.yaml:/etc/crowdsec/profiles.yaml \
    -v ./http_notification.yaml:/etc/crowdsec/notifications/http_notification.yaml \
    -p 8080:8080 -p 6060:6060 \
    --name crowdsec crowdsecurity/crowdsec

部署用例

Crowdsec由解析日志并创建警报的代理和将这些警报转换为决策的本地API（LAPI）组成。这两个功能由相同的可执行文件提供，因此代理和LAPI可以在同一容器或单独的容器中运行。在复杂配置中，在每个运行受保护应用的机器上部署代理，而LAPI收集所有代理的信号并与中央API通信是合理的。

向LAPI注册新代理

无TLS认证：

shell
docker exec -it crowdsec_lapi_container_name cscli machines add agent_user_name --password agent_password

有TLS认证：

代理会自动注册，不需要用户名或密码。代理名称从其连接的IP地址派生。

运行连接到LAPI的代理

在docker run命令中添加以下环境变量：

• DISABLE_LOCAL_API=true
• AGENT_USERNAME="agent_user_name" - 之前向LAPI注册的agent_user_name
• AGENT_PASSWORD="agent_password" - 之前向LAPI注册的agent_password
• LOCAL_API_URL="[***]"

后续步骤

Bouncers

Crowdsec是检测组件，修复通过bouncers实现。每个bouncer保护特定组件。了解更多：

[***]

[***]

自动Bouncer注册

无TLS认证：

您可以在启动时使用环境变量或Docker secrets向Crowdsec容器注册bouncers。如果不先删除现有bouncer，无法使用此过程更新现有bouncer。

使用环境变量时，格式应为BOUNCER_KEY_<name>=<key>。例如BOUNCER_KEY_nginx=mysecretkey***。

使用Docker secrets时，secret名称应为bouncer_key_<name>，内容为<key>。例如bouncer_key_nginx的内容为mysecretkey***。

Bouncer密钥可以是任何字符串，但建议使用字母数字值，以与Crowdsec生成的密钥保持一致，并避免特殊字符转义问题。

有TLS认证：

Bouncers会自动注册，不需要API密钥。Bouncers名称从其连接的IP地址派生。

控制台

我们提供基于Web的界面以充分利用Crowdsec：[***]

在此订阅：[***]

注意事项

使用绑定挂载而非命名卷（完整解释）会增加复杂性，因为您必须逐个绑定相关文件，而使用命名卷可以挂载完整的配置和数据文件夹。另一方面，命名卷导航不太直观。

参考

环境变量

注意对于持久配置（即绑定挂载或卷）：设置变量时，其值可能在每次容器运行时写入相应文件（通常是config.yaml）。