Other Fail2ban for spam waves - Fail2ban cho các đợt thư rác

[PVS]

Fail2ban for spam waves - Fail2ban cho các đợt thư rác

Cấu hình sau fail2ban tường lửa sẽ tắt và ngăn chặn tự động tất cả các kẻ gửi thư rác từ đánh máy chủ của bạn. Nó hoạt động trong cùng một thời trang như denyhosts nhưng điều này là cho apache (http) chỉ (sẽ làm việc với nginx)

* Lưu ý: chỉ giành cho hệ thống Linux, xin lỗi người dùng win32.

Cài đặt fail2ban http://www.fail2ban.org/wiki/index.php/Main_Page

RedHat / CentOS /Fedora:
yum install fail2ban

Thêm vào cuối:
etc/fail2ban/jail.conf

[xenforo-sec]
enabled = true
port = http,https
filter = http-xensec
logpath = [path to your apache access log]
#number of occurances
maxretry = 3
#find duration 1 day in seconds
findtime = 86400
#ban for 5 days (in seconds)
bantime = 432000
action = iptables[name=HTTP, port=http, protocol=tcp]
sendmail-whois[name=XenSec, dest=root]
ignoreip = 127.0.0.0/8

Chỉnh các tùy chọn (tất cả trong giây):
maxretry: số lần xuất hiện trong tập tin đăng nhập của bạn
findtime: tìm số kết quả phù hợp trong nhật ký của mình cho một phạm vi thời gian
bantime: bao lâu để cấm ip

Tạo một tập tin lọc mới: /etc/fail2ban/filter.d/http-xensec.conf

# Fail2Ban configuration file
# Author: gordy
[Definition]

# Option: failregex
# Note: This regex will match any GET entry in your logs, so basically all valid and not valid entries are a match.
# You should set up in the jail.conf file, the maxretry and findtime carefully in order to avoid false positives.

# Samples from my logs
#195.211.213.225 - - [27/Aug/2012:13:12:12 -0500] "POST /register/register HTTP/1.0" 200 37130
#173.11.171.129 - - [27/Aug/2012:13:15:11 -0500] "POST /register/register HTTP/1.0" 200 37507
#128.252.11.235 - - [27/Aug/2012:13:17:46 -0500] "POST /register/register HTTP/1.1" 200 11373

failregex = ^(?P<host>(?:\d{1,3}\.){3}(?:\d{1,3})).*?register.*?(register)

# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

Giải thích regex:
Kiểm tra cho IP và ngày và chuỗi "đăng ký"

Những bản ghi của tôi báo cáo khi spammer đăng ký:
195.211.213.225 - - [27/Aug/2012:13:12:12 -0500] "POST /register/register HTTP/1.0" 200 37130

Kiểm tra fail2ban và cấu hình của bạn:
fail2ban-regex '188.190.127.71 - - [27/Aug/2012:15:20:56 -0500] "POST /register/register HTTP/1.0" 200 37124' '^(?P<host>(?:\d{1,3}\.){3}(?:\d{1,3})).*?register.*?(register)'

Fire it up:
/etc/init.d/fail2ban

Fail2ban trong hành động, những gì được thể hiện trong bản ghi fail2ban của tôi:
[gordy@www ~]# tail -f /var/log/fail2ban.log
2012-08-27 17:36:01,762 fail2ban.actions: WARNING [xenforo-sec] Ban 67.8.21.8
2012-08-27 17:46:23,893 fail2ban.actions: WARNING [xenforo-sec] Ban 37.55.6.48
2012-08-27 17:50:52,094 fail2ban.actions: WARNING [xenforo-sec] Ban 128.69.246.208
2012-08-27 17:52:21,114 fail2ban.actions: WARNING [xenforo-sec] Ban 192.162.19.193
2012-08-27 17:52:26,132 fail2ban.actions: WARNING [xenforo-sec] Ban 218.108.168.141
2012-08-27 17:53:46,324 fail2ban.actions: WARNING [xenforo-sec] Ban 188.190.124.73
2012-08-27 17:56:50,700 fail2ban.actions: WARNING [xenforo-sec] Ban 188.190.126.73
2012-08-27 18:01:53,728 fail2ban.actions: WARNING [xenforo-sec] Ban 94.141.40.10
2012-08-27 18:20:38,814 fail2ban.actions: WARNING [xenforo-sec] Ban 69.175.50.174
2012-08-27 18:30:42,953 fail2ban.actions: WARNING [xenforo-sec] Ban 80.82.66.232

Điều này đã làm việc tốt trên máy chủ của tôi và giúp kết hợp với các công cụ khác như Xen Utils.

Chúc các bạn thành công.

Nguồn: xenforo.com​