IPTables Autoban

[Starli]

Hallo,

derzeit wird mein Server von einem Botnetz belästigt und es scheint kein Ende zu nehmen.
Wir haben Apache mit mod_security2 und einem wrapper am laufen, allerdings ist das keine 100%ige Lösung.

Derzeit blocken wir per IPTables per Hand.
Es werden die IP's mit diesem Befehl ermittelt:

netstat -anp |grep 'tcp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

Ich möchte das z.B. jede IP die über 100 Connections hat geblockt wird.
Gibt es dafür eine Möglichkeit?

Guten rutsch,
MfG

 

[mro2]

fail2ban ...

 

[CentY]

Seit wann übernimmt denn fail2ban die Aufgabe Verbindungen zum Apache zu "zählen" und dem entsprechend zu blockieren?

Ich würde dir ddosdeflate empfehlen, im Grunde führt das aber auch nur deinen Befehl einfach jede Minute einmal aus

http://deflate.medialayer.com/

 

[Roger Wilco]

Seit wann übernimmt denn fail2ban die Aufgabe Verbindungen zum Apache zu "zählen" und dem entsprechend zu blockieren?

Seitdem man es dafür konfigurieren kann…

 

[Deleted member 4401]

Was für ein DDoS ist das denn, wird Site Content geladen oder SYN-Flood?
Habe schon einige DDoS erfolgreich abgewehrt, aber dass einzelne Zombies eine solchen Menge an Verbindungen aufbauen ist meiner Meinung nicht gerade typisch, üblicherweise werden weniger Verbindungen aufgebaut und die Menge an Zombies erledigt "den Job".

Was sagen denn die Logs? Falls keine Access Daten (also abgerufene Files) zu finden sind und es sich nicht um eine SYN-Flood handelt würde ich auf Slowloris tippen, und dagegen gibt es mittlerweile ein gut funktionierendes Modul (mod_antiloris) für Apache.

Falls es sich aber um eine SYN-Flood handelt:

#!/bin/bash
netstat -tn |grep SYN | grep <Server IP>:80 > output
sed 's/tcp        0      0 <Server IP>:80        /route add -host /g' output > output1
sed 's/:.*/ reject/g' output1 > output2
chmod 777 output2
./output2
rm output*

Ok, ich weiss, ist ziemlich mit der groben Kelle und ein wenig Kollateralschaden ist nicht auszuschliessen (ausserdem ist es mit der heissen Nadel von mir während eines Angriffs gestrickt worden), aber als einer meiner Server von ca. 6500 Bots angegriffen wurde hat es innerhalb eines Tages für Ruhe gesorgt, natürlich muss man dabei sitzen und beobachten.

P.S. Zum Sperren der Bot IPs würde ich route anstatt iptables empfehlen, zumindest auf meinem Server waren nach 2000 iptables Rules die verursachten i/o-waits dermassen hoch dass das System einfror....per route waren selbst 6500 kein Problem.