емою
В· bantime - час у секунда, на яке блокується хост.
В· maxretry - максимальне число помилкових спроб доступу до сервісу, перш ніж хост буде заблокований fail2ban.
В· filter - ім'я відповідного файла-фільтра в/etc/fail2ban/filter.d, без конечного.conf
В· action - ім'я відповідного файла-реакції на спрацьовування фільтра в/etc/fail2ban/action.d
В· logpath - файл логів, моніторинг якого здійснює fail2ban, для перевірки спроб атак.
В· enabled - може приймати значення true або false. Включено, виключене правило.
Файл sshd.conf за принципом своїйроботі схожий на першу частину скрипта, а саме, якщо в logpath =/var/log/auth.log буде 6 записів типу В«Authentication failure forВ» і якщо знайде, то відпрацює дію = iptables [name = SSH]
і буде створено правило в iptables, а саме:
$ IPTABLES-A INPUT-s 176.67.48.163-j DROP
Відповідно цей хост буде поміщений до списку не довірчих хостів (baned) на значення параметра bantime, який дорівнює 259200 секундам.
У силу роботи підсистеми fail2ban, то скрипт обмежиться лише відправкою листа на пошту для подальшого аналізу системним адміністратором. Якщо спроби злому повторяться після виключення з списку не довірчих хостів, а саме по закінченні 259200 секунд, на пошту прийде ще один лист і потрібно буде задуматися про те, що для цього хоста прописати постійне забороняє правило в iptables. br/>
5.4 Атака на сервер телефонії
Технологія роботи скрипта щодо атаки на Астеріск в точності така ж, як і у випадку з ssh атакою, за винятком значення параметрів fail2ban.
У системному балці/var/log/asterisk/messages шукається запис виду В«Wrong passwordВ», і якщо такий запис зустрічається 10 разів, то відсилається лист на пошту, лист виглядає так:
2012-11-19 17:40:14 asterisk registration.3000 lines on log file, 266 contains @ Wrong password @
Код пошуку цієї помилки:
$ command ["Asterisk"] = array (
"exec" => "/ usr/bin/tail-n 3000/var/log/asterisk/messages |/bin/grep-c " - Wrong password " ; ",
"email" => "Attack asterisk registration. n On 3000 lines on log file, {exec} contains @ Wrong password @",
"limit" => 10
Як ця строчка виглядає в балці messages:
NOTICE [3023] chan_sip.c: Registration from '"555" ' failed for '176 .67.48.1...
