Wie kann ich die Protokolldateien von fail2ban erneut verarbeiten?

379
Nabil Sham

Ich habe fail2ban installiert und gestartet. Wenn man sich Apache und sichere Logs ansieht, gibt es eindeutig eine Menge Spam. Aber fail2ban hat noch nichts blockiert

sudo iptables -L INPUT -v -n | less fail2ban-client status 

Wie kann ich sowohl das sichere als auch das Apache-Protokoll erneut verarbeiten, um vergangene Hack-Versuche zu verbieten?

0

1 Antwort auf die Frage

0
davidgo

Da Fail2Ban lediglich die Protokolldateien betrachtet, in die geschrieben wird, geben Sie sie einfach wieder. Sie können dies mit cat /path/to/old-log.file >> /path/to/log.file tun, während fail2ban ausgeführt wird. Beachten Sie, dass hierdurch natürlich die alte Protokolldatei in die Mitte Ihrer neuen Protokolldatei eingefügt wird. Möglicherweise möchten Sie die Protokolldateien vor und nach dem Drehen drehen.

Ich glaube jedoch, dass Sie höchstwahrscheinlich "falsch machen", da Fail2Ban nicht dafür ausgelegt ist. Fail2Ban hebt IPs normalerweise nach einigen Minuten auf. AFAIK verfügt nicht über einen integrierten Mechanismus zum Speichern von Verboten. Das eigene Handbuch beschreibt es als eine Reihe von Server- und Client-Programmen, um Brute-Force-Authentifizierungsversuche zu begrenzen. - IE ist nicht für langfristige Verbote gedacht - und sollte es auch nicht sein, da sich die IP-Adressen von Angreifern ändern, und Sie könnten durchaus berechtigten Benutzern den Dienst verweigern. (Brute-Force-Angriffe sollen verlangsamt werden. Es gibt einen 1800-fachen Zeitunterschied für Brute-Force mit einer Geschwindigkeit von etwa 5 Kennwörtern in 15 Minuten und 10 Sekunden pro Sekunde).