Während CrowdSec vollständig über die Kommandozeile administriert werden kann, wünschen sich viele Administratoren eine grafische Oberfläche zur Überwachung ihrer Systeme. Genau hier setzt das CrowdSec Dashboard an.

Es ermöglicht einen schnellen Überblick über erkannte Angriffe, gesperrte IP-Adressen, aktive Entscheidungen und Statistiken. Besonders in Umgebungen mit mehreren Servern oder bei regelmäßigen Sicherheitsanalysen spart das Dashboard viel Zeit.

In diesem Artikel installieren wir das Dashboard, sichern den Zugriff ab und werfen einen Blick auf die wichtigsten Funktionen.

Warum ein Dashboard?

Die CLI von CrowdSec ist leistungsfähig und für Automatisierungen hervorragend geeignet. Dennoch gibt es Situationen, in denen eine grafische Oberfläche deutliche Vorteile bietet.

Beispielsweise lassen sich:

• aktuelle Angriffe sofort erkennen
• Trends über längere Zeiträume analysieren
• Entscheidungen einfacher nachvollziehen
• mehrere Maschinen gleichzeitig überwachen
• Sicherheitsereignisse schneller bewerten

Gerade Administratoren mit vielen Servern erhalten dadurch einen erheblich besseren Überblick.

Voraussetzungen

Vor der Installation sollten folgende Komponenten bereits vorhanden sein:

• Debian 13
• installierter CrowdSec Agent
• funktionierende Local API (LAPI)
• Internetverbindung
• Docker und Docker Compose (empfohlen)

Das Dashboard wird inzwischen bevorzugt als Docker-Container betrieben.

Verzeichnisstruktur anlegen

Erstellen Sie zunächst ein eigenes Arbeitsverzeichnis.

mkdir -p /opt/crowdsec-dashboard
cd /opt/crowdsec-dashboard

Docker Compose vorbereiten

Erstellen Sie anschließend eine Compose-Datei.

services:

  dashboard:
    image: crowdsecurity/dashboard:latest
    container_name: crowdsec-dashboard

    ports:
      - "3000:3000"

    environment:
      - CROWDSEC_LAPI_URL=http://host.docker.internal:8080

    restart: unless-stopped

Je nach Installationsart kann sich die Verbindung zur Local API unterscheiden.

Wird das Dashboard auf demselben Server betrieben, erfolgt die Kommunikation meist direkt über die LAPI.

Dashboard starten

docker compose up -d

Anschließend lässt sich überprüfen, ob der Container läuft.

docker ps

Erreichbarkeit testen

Standardmäßig ist das Dashboard über Port 3000 erreichbar.

http://SERVER-IP:3000

Für produktive Systeme sollte dieser Port niemals ungeschützt aus dem Internet erreichbar sein.

Zugriff absichern

Ein Sicherheitsdashboard sollte ausschließlich über HTTPS erreichbar sein.

Empfehlenswert ist ein Reverse Proxy mit Apache oder Nginx.

Typischer Aufbau:

Internet

        │

HTTPS :443

        │

Apache / Nginx

        │

localhost:3000

        │

CrowdSec Dashboard

Dadurch profitieren Sie gleichzeitig von:

• TLS-Verschlüsselung
• Let's Encrypt
• Zugriffskontrolle
• Firewall-Regeln
• Logging

Zugriff zusätzlich einschränken

Noch besser ist eine Kombination mehrerer Schutzmaßnahmen.

Beispielsweise:

• VPN-Zugriff
• IP-Whitelist
• Basic Authentication
• Client-Zertifikate
• Multi-Faktor-Authentifizierung (falls unterstützt)

Das Dashboard sollte niemals öffentlich ohne zusätzliche Absicherung erreichbar sein.

Firewall anpassen

Falls erforderlich:

sudo ufw allow 443/tcp

Der interne Port 3000 sollte ausschließlich lokal erreichbar sein.

Benutzer anlegen

Beim ersten Start erfolgt die Einrichtung eines Administratorkontos.

Verwenden Sie dabei:

• einen eindeutigen Benutzernamen
• ein langes Passwort
• möglichst einen Passwortmanager

Vermeiden Sie Standardkennwörter oder mehrfach verwendete Passwörter.

Anmeldung

Nach erfolgreicher Einrichtung erscheint die Login-Seite.

Nach der Anmeldung öffnet sich die Startseite des Dashboards.

Die Startübersicht

Die Dashboard-Startseite fasst die wichtigsten Informationen zusammen.

Typischerweise finden Sie dort:

• erkannte Angriffe
• blockierte IP-Adressen
• Anzahl der Alerts
• aktive Entscheidungen
• Maschinenstatus
• letzte Aktivitäten

Bereits auf einen Blick lässt sich erkennen, ob ungewöhnliche Aktivitäten stattfinden.

Alerts verstehen

Alerts bilden das Herzstück von CrowdSec.

Ein Alert entsteht, sobald ein Szenario ausgelöst wurde.

Beispiele:

• SSH-Brute-Force
• HTTP-Scanner
• SQL-Injection
• Credential Stuffing
• Portscan
• Webcrawler
• Botnet-Aktivität

Zu jedem Alert werden zahlreiche Informationen angezeigt.

Beispielsweise:

• Zeitpunkt
• betroffene Maschine
• Quell-IP
• Szenario
• Schweregrad
• Anzahl der Ereignisse

Dadurch können Angriffe schnell eingeordnet werden.

Entscheidungen (Decisions)

Aus Alerts entstehen häufig automatische Entscheidungen.

Beispiele:

• IP blockieren
• Blockierung verlängern
• Ablaufzeit anzeigen
• manuelle Sperre
• manuelle Freigabe

Im Dashboard lassen sich sämtliche Entscheidungen komfortabel verwalten.

Administratoren erkennen sofort:

• welche IP gesperrt wurde
• warum sie gesperrt wurde
• wann die Sperre endet

Maschinen verwalten

Verwendet ein Dashboard mehrere CrowdSec-Agenten, erscheint für jede Maschine ein eigener Eintrag.

Dort werden beispielsweise angezeigt:

• Hostname
• Version
• letzte Kommunikation
• Status
• aktive Collections
• installierte Parser

So lassen sich komplette Serverlandschaften zentral überwachen.

Statistiken

Ein großer Vorteil des Dashboards sind die grafischen Auswertungen.

Je nach Version stehen unter anderem folgende Informationen bereit:

• Angriffe pro Stunde
• Angriffe pro Tag
• häufigste Herkunftsländer
• häufigste Szenarien
• blockierte IPs
• Entwicklung der Angriffe
• Anzahl aktiver Entscheidungen

Besonders bei langfristigen Analysen entstehen dadurch wertvolle Erkenntnisse.

Detailansicht einzelner Angriffe

Ein Klick auf einen Alert öffnet weitere Informationen.

Dazu gehören beispielsweise:

• vollständige Logeinträge
• Parser-Ergebnisse
• verwendetes Szenario
• Zeitstempel
• betroffene Dienste
• Entscheidungen
• Metadaten

Damit wird die Ursachenanalyse erheblich erleichtert.

Such- und Filterfunktionen

Bei vielen Angriffen helfen die integrierten Filter.

Gefiltert werden kann beispielsweise nach:

• Zeitraum
• IP-Adresse
• Szenario
• Maschine
• Schweregrad
• Entscheidung

So lassen sich auch ältere Ereignisse schnell wiederfinden.

Dashboard regelmäßig aktualisieren

Da das Dashboard meist als Docker-Container betrieben wird, ist ein Update unkompliziert.

docker compose pull
docker compose up -d

Nach dem Neustart steht automatisch die aktuelle Version zur Verfügung.

Best Practices

Für einen sicheren Betrieb haben sich folgende Maßnahmen bewährt:

• Dashboard ausschließlich über HTTPS bereitstellen
• Reverse Proxy verwenden
• starken Administrator-Zugang nutzen
• regelmäßige Updates durchführen
• Zugriff per VPN bevorzugen
• Backups der Konfiguration erstellen
• nur notwendige Benutzer anlegen
• Dashboard regelmäßig auf ungewöhnliche Aktivitäten prüfen

Das CrowdSec Dashboard ergänzt die leistungsfähige Kommandozeile um eine komfortable grafische Oberfläche. Sicherheitsereignisse lassen sich auf einen Blick erfassen, Angriffe analysieren und automatische Entscheidungen nachvollziehen. Besonders in Umgebungen mit mehreren Servern oder bei der täglichen Administration spart das Dashboard viel Zeit und erleichtert die Auswertung erheblich. In Kombination mit einer abgesicherten HTTPS-Bereitstellung, regelmäßigen Updates und einer restriktiven Zugriffskontrolle wird das Dashboard zu einem wertvollen Werkzeug für den sicheren Betrieb moderner Linux-Server.