crowdsec-unifi-parser
Solución open source que inyecta reglas iptables LOG estructuradas en UniFi Dream Machines y provee parsers para CrowdSec. Elimina el ruido del syslog nativo, permitiendo detección precisa de amenazas como escaneos de puertos o ataques DDoS sin instalar software adicional en el router.
Ficha actualizada 25 sept 2026, 7:53 · upstream 25 sept 2026, 7:27 · release v1.0.0
Qué es crowdsec-unifi-parser
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Este repositorio facilita la integración de dispositivos UniFi con CrowdSec mediante reglas iptables LOG personalizadas y parsers específicos. El problema principal es que el syslog nativo de UniFi genera mucho ruido, como cambios de estado o actualizaciones, y no tiene un parser oficial. Esta solución inyecta entradas limpias en el kernel antes de las reglas DROP.
La arquitectura requiere una máquina separada ejecutando CrowdSec que reciba los logs vía syslog desde el UDM. Se utiliza un script Python para desplegar las reglas de registro en el firewall del UniFi, asegurando que cada paquete rechazado genere una entrada parseable con IP origen, destino y puerto.
Incluye escenarios predefinidos para detección de escaneo de puertos (ráfagas y secuenciales), ataques DDoS por volumen y fuerza bruta SSH. Es idempotente y sobrevive a actualizaciones de firmware si se vuelve a ejecutar el script de despliegue.
- Detección de escaneo de puertos agresivo
- Mitigación de ataques DDoS por volumen
- Análisis de fuerza bruta SSH en Dropbear
- Monitoreo de tráfico entre zonas WAN, LAN y DMZ
- Integración con bouncers para bloqueo automático
- Logs estructurados y limpios sin ruido del kernel
- Despliegue idempotente mediante script Python
- Compatible con UDM, UDM SE, UDR y UDM Pro
- Detección de patrones secuenciales y ráfagas
- Integración nativa con el ecosistema CrowdSec
- Soporta múltiples zonas de red incluyendo VPN
- Requiere máquina separada para ejecutar CrowdSec
- Necesita acceso SSH al dispositivo UniFi para despliegue inicial
- No incluye Docker ni orquestación nativa
- Configuración manual de rsyslog en el receptor
- Depende de la versión de firmware compatible con iptables
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar Python 3 y paramiko. Ejecutar deploy-log-rules.py vía SSH para inyectar reglas LOG. Configurar rsyslog en el servidor CrowdSec para recibir UDP 514 desde UDM. Copiar parsers, escenarios y collections a /etc/crowdsec/. Editar acquis.d/unifi.yaml con la ruta de log. Cargar cambios con cscli reload o systemctl reload crowdsec.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.