fail2ban apache

[freeman]

Ich hab jetzt seit längerem schon fail2ban im Einsatz, und es läuft soweit ganz gut. Gegen ssh block es jeden Tag ein paar Zugriffe und ab und zu auch mal ein Courierlogin.
Nur für den Apache, welcher auch fast jeden Tag solche Spuren in den Logs aufweißt geht fail2ban nicht. Ich weiß nicht warum, die Config scheint richtig zu sein. Beim starten im Logfile sieht alles normal aus. Richtige Logfiles und richtige Filterregel werden geladen.
Also muss es wohl am Regex liegen. Pcretest springt aber jedes mal an.

failregex = [[]client <HOST>[]] (?:File does not exist)|(?:script.*not found or unable to stat)|(?:.*w00tw00t)

Damit wollte ich diese 3 Zeilen ansprechen:

[Sun Mar 04 18:44:05 2007] [error] [client 111.222.333.444] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Sun Mar 04 16:08:30 2007] [error] [client 111.222.333.444] File does not exist: /var/www/apache2-default/b2evo
[Sun Mar 04 08:28:01 2007] [error] [client 111.222.333.444] script '/var/www/apache2-default/index.php' not found or unable to stat

eventuell später diese noch:
[Sun Mar 04 20:28:17 2007] [error] [client 111.222.333.444] Invalid URI in request GET HTTP/1.0

Hat da jemand fail2ban erfolgreich im Einsatz, und könnte mal sein Regex posten? Ich weiß nicht mehr weiter.
Obwohl eigentlich könnte man da drauf ja verzichten. Die meisten Scripte nach denen gesucht wird sind nicht drauf, außer phpmyadmin und ein Forum. Diese versuch ich aber aktuell gehalten.

Grüße
freeman

 

[V40]

Hallo,

für solche Zwecke verwendet man eigentlich mod_security bzw. mod_evasive.
Das sind Module die extra dafür sind.

 

[amnesie]

Ich weiss nicht, was an solchen Requests schlimm sein soll. Wenn man die fragliche Software nicht einsetzt oder sie auf dem aktuellsten Stand ist, man sich beruhigt zurücklehnen und dem Scannen zuschauen.

 

[Deleted member 10843]

Ich weiss nicht, was an solchen Requests schlimm sein soll

Naja, derjenige, der z.B. versucht auf nem Server phpMyAdmin zu finden (und damit etwa diese massenhaften "File not found"-Einträge erzeugt), führt wohl kaum Gutes im Schilde, darum ist es denk ich nicht verkehrt, solche IPs mal eben zu bannen...

Ich nutze bei mir die Regel "apache-nohome" - evtl. hilft dir das weiter.

mein RegEx:

failregex = [[]client (?P<host>\S*)[]] File does not exist:

Hab da kürzlich einen Beitrag im Blog gehabt: http://www.kauderwwwelsch.de/2011-04-01/fail2ban-die-phpmyadmin-sucher-bannen/

 

[marce]

dann solltest Du an Deiner Webseite aber auch nie Änderungen vornehmen, die evtl. z.B. auch Such-Robots oder alte Deeplinks in's Leere laufen lassen...

 

[Deleted member 10843]

sagt ja keiner, dass das ne allumfassende optimale Lösung für alles ist... "Gedankenanstoß" trifft's ganz gut