网络服务器受到攻击

Question

我已经安装了 fail2ban

仅安装 fail2ban 是不够的，您必须对其进行配置以满足您的需求。Fail2ban 只是一个工具，与许多其他工具一样，需要正确使用。

为了阻止这样的“洪水”，基本上有 3 种主要方法：

如果你确定你的网页基本上没有一些损坏的链接，那么对 404（或其他 40x）响应做出反应就足够了：

[bad-http]
logpath = /path/to/your/log
filter =
# fail on every 40x (excepting 401 for authentication attempt, which should be handled separately):
failregex = ^<ADDR> \S+ \S+ \[\] "[^"]+" 40(?!1)\d\s+
maxretry = 10
# findtime = some-time-after-maxretry-attempts-should-cause-a-ban
enabled = true

并且您必须检查（并且可能更正）导致 302 重定向的规则（可能是此重定向仅影响 URI 的某些白名单）。

如果你不能确定或者需要更精确的处理，你必须制作一些这个机器人经常使用的阻止列表 URI（或者检查引荐来源或一些 cookie 或其他任何东西），例如：

[bad-http]
logpath = /path/to/your/log
filter =
# fail on certain 40x (uris starting with this block-list):
_blocklist = vendor|solr|api|\?a=fetch|wp-content|console|\?XDEBUG_SESSION_START=|Autodiscover
failregex = ^<ADDR> \S+ \S+ \[\] "[A-Z]+ /(?:%(_blocklist)s)\b[^"]*" 40\d\s+
maxretry = 10
# findtime = some-time-after-maxretry-attempts-should-cause-a-ban
enabled = true

请注意，在这种情况下，您必须检查阻止列表中的 URI 前缀是否与您的合法 URI 冲突，并持续维护此列表。还请注意，“入侵者”要避免被禁止非常简单，只需更改 URI（例如，在您的前缀前添加其他参数）

与 2 相同，但使用有效 URI 的白名单：

[bad-http]
logpath = /path/to/your/log
filter =
# fail on certain 40x (excepting given white-list):
_whitelist = my-app|other-app
failregex = ^<ADDR> \S+ \S+ \[\] "[A-Z]+ /(?!%(_whitelist)s)\b[^"]*" 40\d\s+
maxretry = 10
# findtime = some-time-after-maxretry-attempts-should-cause-a-ban
enabled = true

您可以在此处指定所有有效的前缀 RE，_whitelist以完全避免合法 URI 出现可能的误报。

不管你使用什么，你可以从大maxretry（和短findtime）和小的值开始bantime（这样可以避免过长的禁令而导致可能的误报），并且如果你的fail2ban版本> = 0.10并且启用了bantime.increment，那么惯犯以后会被禁止更长的时间和更快。

还请考虑https://github.com/fail2ban/fail2ban/wiki/Best-practice获得一些关于如何更有效地配置 fail2ban 监狱和过滤器的建议。

Answer 1