CrowdSec IPS Compliance Automation —

CrowdSec IPS

CrowdSec IPS Intrusion Prevention Behavior Analysis Community Threat Intelligence Bouncer Compliance GDPR PCI DSS ISO 27001 Automation Block IP Linux Docker Kubernetes

CrowdSec Setup

=== CrowdSec Installation ===

Install CrowdSec

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash
sudo apt install crowdsec

Install Firewall Bouncer

sudo apt install crowdsec-firewall-bouncer-iptables

Install Nginx Bouncer

sudo apt install crowdsec-nginx-bouncer

Check Status

sudo cscli metrics
sudo cscli decisions list
sudo cscli alerts list

Configuration — /etc/crowdsec/acquis.yaml

---

filenames:

• /var/log/nginx/access.log
• /var/log/nginx/error.log

labels:

type: nginx

---

filenames:

• /var/log/auth.log

labels:

type: syslog

เนื้อหาเกี่ยวข้อง — อ่านต่อ: Br Html คืออะไร — ข้อมูลครบถ้วน 2026

---

filenames:

• /var/log/apache2/access.log

labels:

type: apache2

Install Collections (Parsers + Scenarios)

sudo cscli collections install crowdsecurity/nginx
sudo cscli collections install crowdsecurity/sshd

sudo cscli collections install crowdsecurity/linux
sudo cscli collections install crowdsecurity/http-cve

Whitelist your IP

sudo cscli decisions delete --ip YOUR_IP

แนะนำเพิ่มเติม — iCafeForex

echo "name: whitelist\nreason: admin\nip: YOUR_IP" > /etc/crowdsec/parsers/s02-enrich/whitelist.yaml

from dataclasses import dataclass

from typing import List

@dataclass

class ThreatEvent:

timestamp: str

source_ip: str

scenario: str

action: str

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ ClickHouse Analytics Backup Recovery Strategy

duration: str

country: str

events = [

ThreatEvent("14:23:15", "185.220.101.45", "crowdsecurity/ssh-bf", "ban 4h", "4 hours", "RU"),

ThreatEvent("14:25:30", "45.155.205.233", "crowdsecurity/http-probing", "ban 4h", "4 hours", "CN"),

ThreatEvent("14:28:45", "192.168.1.100", "crowdsecurity/http-bf-wordpress", "ban 4h", "4 hours", "TH"),

ThreatEvent("14:30:00", "103.152.220.44", "crowdsecurity/CVE-2021-44228", "ban 24h", "24 hours", "VN"),

ThreatEvent("14:32:10", "91.240.118.172", "crowdsecurity/http-crawl-non_statics", "ban 4h", "4 hours", "UA"),

]

แนะนำเพิ่มเติม — ติดตาม XM Signal

Enterprise Deployment

=== Enterprise Multi-server ===

Docker Compose

services:

crowdsec:

image: crowdsecurity/crowdsec:latest

environment:

• COLLECTIONS=crowdsecurity/nginx crowdsecurity/sshd
• ENROLL_KEY=your-console-key

volumes:

• /var/log/nginx:/var/log/nginx:ro
• /var/log/auth.log:/var/log/auth.log:ro
• crowdsec-db:/var/lib/crowdsec/data
• crowdsec-config:/etc/crowdsec

restart: always

bouncer-nginx:

image: crowdsecurity/crowdsec-openresty-bouncer

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ index mysql คือ — ข้อมูลครบถ้วน 2026

environment:

• CROWDSEC_BOUNCER_API_KEY=bouncer-key
• CROWDSEC_BOUNCER_HOST=crowdsec:8080

depends_on: [crowdsec]

Kubernetes — Helm

helm repo add crowdsec https://crowdsecurity.github.io/helm-charts

helm install crowdsec crowdsec/crowdsec \
--set agent.acquisition[0].namespace=nginx \
--set agent.acquisition[0].podName=nginx-* \
--set lapi.env[0].name=ENROLL_KEY \

--set lapi.env[0].value=your-key

SIEM Integration

sudo cscli notifications install email
sudo cscli notifications install slack
sudo cscli notifications install http  # webhook to SIEM

Elasticsearch Export

profiles.yaml:

• name: default_ip_remediation

notifications:

• http_elastic

on_success: apply

decisions:

• type: ban

automation_tasks = [

"Auto-block: IP ที่ Brute Force ถูก Ban อัตโนมัติ",

"Auto-report: สร้าง Compliance Report ทุกเดือน",

เนื้อหาเกี่ยวข้อง — CSS Container Queries GitOps Workflow — คู่มือฉบับสมบูรณ์ 2026

"Auto-update: อัพเดท Scenarios Collections อัตโนมัติ",

"Auto-alert: แจ้ง Slack Email เมื่อมี Critical Alert",

"Auto-whitelist: Import Whitelist จาก CMDB อัตโนมัติ",

"Auto-escalate: Escalate ถ้า Alert > Threshold",

"Auto-export: ส่ง Log ไป SIEM ทุก Event",

]

for i, t in enumerate(automation_tasks, 1):

เคล็ดลับ

• Collections: ติดตั้ง Collections ที่ตรงกับ Stack เช่น nginx sshd
• Console: ลงทะเบียน Console ดู Dashboard จัดการหลายเครื่อง
• Whitelist: Whitelist IP Admin ป้องกัน Lock ตัวเอง
• SIEM: ส่ง Alert ไป SIEM สำหรับ Audit Trail
• Update: อัพเดท Scenarios สม่ำเสมอ ป้องกัน CVE ใหม่

การนำไปใช้งานจริงในองค์กร

สำหรับองค์กรขนาดกลางถึงใหญ่ แนะนำให้ใช้หลัก Three-Tier Architecture คือ Core Layer ที่เป็นแกนกลางของระบบ Distribution Layer ที่ทำหน้าที่กระจาย Traffic และ Access Layer ที่เชื่อมต่อกับผู้ใช้โดยตรง การแบ่ง Layer ชัดเจนช่วยให้การ Troubleshoot ง่ายขึ้นและสามารถ Scale ระบบได้ตามความต้องการ

เรื่อง Network Security ก็สำคัญไม่แพ้กัน ควรติดตั้ง Next-Generation Firewall ที่สามารถ Deep Packet Inspection ได้ ใช้ Network Segmentation แยก VLAN สำหรับแต่ละแผนก ติดตั้ง IDS/IPS เพื่อตรวจจับการโจมตี และทำ Regular Security Audit อย่างน้อยปีละ 2 ครั้ง

apt install crowdsec Bouncer iptables nginx acquis.yaml Log Source Collections nginx sshd Console app.crowdsec.net Dashboard

สรุป

CrowdSec IPS Compliance Automation Behavior Analysis Community CTI Bouncer Block PCI DSS GDPR ISO 27001 SIEM Alert Docker Kubernetes Enterprise Production