[Erledigt] iptables apache anbindung

[Rene]

hm, hatte bisher noch keine größeren angriffe, aber werde das mal weiter beobachten...

[fulltilt]

ist bei mir schon öfter mal eingefroren das fail2ban ...
Nur wenn ich die maxretry von 1 auf 10 setze, nützt es ja nichts bei einem Rootkit Installations Versuch ... den will ich ja sofort blocken.

Rene Wrote:hm, hatte bisher noch keine größeren angriffe, aber werde das mal weiter beobachten...

[Rene]

ja das ist schon klar, aber wie gesagt, wenn du die regel erstellst, geht der dann das entsprechende logfile erstmal durch und wendet die regel an.
nützt dir ja anfangs nichts... deswegen würde ich das erstmal hochsetzen und danach kannst du es ja wieder ändern

[fulltilt]

Hi Rene,

mit maxretry=2 scheint das jetzt zu klappen.

Habe hier noch 2 Logs in der apache-error.log ...
Kann man diese in eine regex zusammenfassen oder wie kann man das am besten umsetzen?

Code:

[Sat Mar 01 04:44:09 2008] [error] [client 122.160.0.202] ModSecurity: Access denied with code 403 (phase 2). Pattern match "/sumthin" at REQUEST_URI. [uri "/sumthin"] [unique_id "96naN8MYTXsAAC4gNdMAAAA1"]

[Sat Mar 01 11:20:53 2008] [error] [client 221.140.33.61] File does not exist: /htdocs

[Rene]

bei den zwei meldungen möchtest du sperren? oder nur beim 403er?

[fulltilt]

Rene Wrote:bei den zwei meldungen möchtest du sperren? oder nur beim 403er?

Wenn es geht - ansonsten würde ich bei der letzen gerne sperren:

Code:

failregex = <HOST> - -.*File does not exist: /htdocs.*

Nur wie bekomme ich das hin?
Hierbei kann ich ja nicht wie oben <HOST> verwenden:
[error] [client 122.160.0.202]

[Rene]

Code:

failregex = [.* [error] [client <HOST>].*

so wird jeder host gesperrt der eine error meldung in deinem log produziert

[fulltilt]

Wäre das so richtig mit dem File does not exist: /htdocs

Code:

failregex = [.* [error] [client <HOST>] File does not exist: /htdocs.*

Rene Wrote:

Code:

failregex = [.* [error] [client <HOST>].*

so wird jeder host gesperrt der eine error meldung in deinem log produziert

[Rene]

ja ist auch richtig, das ".*" ist eine Variable...

du kannst die natürlich auch "füllen"