Descobre e bloqueia o IP de quem mais tem conexão no servidor
Publicado por Ricardo Lino Olonca (última atualização em 31/10/2012)
[ Hits: 7.162 ]
Homepage: ricardoolonca.blogspot.com.br
Resolvi publicar esse script depois que um amigo aqui do VOL publicou algo parecido.
Esse script, que começou a nascer da necessidade de limitar o número de conexões em um servidor web, fui mudando aos poucos. Agora ele deve rodar via cron, bloqueia quem tiver mais do que 100 conexões ativas simultâneas no servidor, bloqueia tentativas de ataque por força-bruta (20 erros) e também bloqueia quem ultrapassa os limites definidos pelo Apache/SuHosin.
Além desse script, rodo outros programas nos servidores, como Snort, Fail2ban etc.
#!/bin/bash # Descobre e bloqueia o ip de quem mais tem conexao no servidor # Feito por Ricardo Lino Olonca em 15/12/2011 # Versao 0.0.1 - Passei a considerar apenas conexoes estabelecidas - Ricardo Lino Olonca - 19/12/2011 # 0.1 - Bloqueio de tentativa de invação por ataque de forca buta no ssh - Ricardo Lino Olonca - 29/12/2011 # Corrigido o ip da rede dmz # 0.1.1 - Trocado "cut" por "awk" no processo de forca bruta para corrigir o erro em dias menores que 10 - Ricardo Lino Olonca - 02/01/2012 # 0.1.2 - Corrigido o erro na mensagem quando encontra ataque pelo Suhosin - Ricardo Lino Olonca - 11/04/2012 # 0.1.3 - Corrigido o erro na mensagem quando encontra ataque pelo Suhosin - Ricardo Lino Olonca - 12/04/2012 # 0.1.4 - Exclui o ip 127.0.0.1 da checagem das conexões - Ricardo Lino Olonca - 16/05/2012 # 0.1.5 - A checagem das conexões agora servem para o Linux em português e em inglês - Ricardo Lino Olonca - 05/10/2012 #set -x # Variaveis # Máximo de conexoes simultaneas LIMITE=100 # Máximo de tentativas de autenticacao AUTH=20 # Email que recebera o aviso EMAIL='ricardo.olonca@vivaolinux.com.br' # Checa se o numero de conexoes ultrapassou o limite e bloqueia o ip em caso afirmativo maior=`netstat -na | grep ^tcp | grep ESTAB | awk '{print $5}' | cut -d":" -f1 | grep -v 0.0.0.0 | grep -v 127.0.0.1 | sort | uniq -c | sort -nr | head -1` n=`echo $maior | awk '{print $1}'` if [ $n -gt $LIMITE ] then ip=`echo $maior | awk '{print $2}'` /sbin/iptables -nL | grep $ip 2>/dev/null >/dev/null if [ $? -eq 1 ] then /sbin/iptables -A INPUT -s $ip -j DROP 2>/dev/null >/dev/null logger "Ip $ip bloqueado com $n conexoes" for i in $EMAIL do echo "O ip $ip foi bloqueado com $n conexoes no servidor `hostname`" | /usr/bin/sendemail -f root@vivaolinux.com.br -t $i -u "Bloqueio de ip" -s smtp.vivaolinux.com.br done fi fi # Checa se o Suhosin achou algum tipo de ataque for i in `grep suhosin /var/log/syslog | cut -d"(" -f2 | cut -d"'" -f2 | grep ^[0-9] | sort | uniq ` do /sbin/iptables -nL | grep $i 2>/dev/null >/dev/null if [ $? -eq 1 ] then /sbin/iptables -I INPUT -s $i -j DROP 2>/dev/null >/dev/null logger "Ip $i bloqueado devido a tentativa de ataque detectada pelo Suhosin" for j in $EMAIL do echo "O ip $i foi bloqueado no servidor `hostname` devido a tentativa de ataque detectada pelo Suhosin" | /usr/bin/sendemail -f root@vivaolinux.com.br -t $j -u "Bloqueio de ip" -s smtp.vivaolinux.com.br done fi done # Checa se houve tentativas de ataque por forca bruta for i in `grep invalid /var/log/auth.log | awk '{print $13}' | sort | uniq -c | sort -nr | awk '{print $1";"$2}'` do numero=`echo $i | cut -d";" -f1` if [ $numero -ge $AUTH ] then ip=`echo $i | cut -d";" -f2` /sbin/iptables -nL | grep $ip 2>/dev/null >/dev/null if [ $? -eq 1 ] then /sbin/iptables -I INPUT -s $ip -j DROP 2>/dev/null >/dev/null logger "Ip $i bloqueado devido a tentativa de ataque por força bruta" for i in $EMAIL do echo "O ip $ip foi bloqueado no servidor `hostname` devido a tentativa de ataque por forca bruta" | /usr/bin/sendemail -f root@vivaolinux.com.br -t $i -u "Bloqueio de ip" -s smtp.vivaolinux.com.br done fi fi done
Script de cópia (destino - origem) otimizado
Linkar libs do Boost 1.74.0 para 1.73.0 no Slackware Current
Multiplos gerenciadores nome do seu pacote
Nenhum comentário foi encontrado.
Compartilhando a tela do Computador no Celular via Deskreen
Como Configurar um Túnel SSH Reverso para Acessar Sua Máquina Local a Partir de uma Máquina Remota
Configuração para desligamento automatizado de Computadores em um Ambiente Comercial
Efeito "livro" em arquivos PDF
Como resolver o erro no CUPS: Unable to get list of printer drivers
Flatpak: remover runtimes não usados e pacotes
Mudar o gerenciador de login (GDM para SDDM e vice-versa) - parte 2
[Python] Automação de scan de vulnerabilidades
[Python] Script para analise de superficie de ataque
[Shell Script] Novo script para redimensionar, rotacionar, converter e espelhar arquivos de imagem
[Shell Script] Iniciador de DOOM (DSDA-DOOM, Doom Retro ou Woof!)
[Shell Script] Script para adicionar bordas às imagens de uma pasta