|
이런쪽은 젬병이라
현재 리눅스 메일서버를 운영중인데 굉장히 많은 SMTP 접근 시도가 있습니다.
일단 특이 접근 시도는
다음과 같은 명령어로 리스트 추출은 했습니다.
grep "LOGIN" /var/log/maillog | awk '{print $7 $8}' | sort | grep SASL | uniq -c | sort -r > /tmp/spamlist
이렇게 하면
9226 unknown[XXX.XXX.XXX.XXX]:SASL
913 unknown[XXX.XXX.XXX.XXX]:SASL
7 unknown[XXX.XXX.XXX.XXX]:SASL
772 unknown[XXX.XXX.XXX.XXX]:SASL
69 unknown[XXX.XXX.XXX.XXX]:SASL
6846 unknown[XXX.XXX.XXX.XXX]:SASL
6719 unknown[XXX.XXX.XXX.XXX]:SASL
5 unknown[XXX.XXX.XXX.XXX]:SASL
5729 unknown[XXX.XXX.XXX.XXX]:SASL
50 unknown[XXX.XXX.XXX.XXX]:SASL
4 unknown[XXX.XXX.XXX.XXX]:SASL
4777 ipXXX.ip-xxx-xxx-xxx.net[XXX.XXX.XXX.XXX]:SASL
이렇게 추출은 됩니다.
그럼 여기서 일단 최소 20번 초과 시도에 한한 시도의 아이피만 추출했습니다.
while read A B
do
if [ ${A} -gt 20 ]
then
echo ${B} |awk -F[ '{print $2}' |awk -F] '{print $1}' >> /tmp/blacklist
fi
done < /tmp/spamlist
그럼 /tmp/blacklist 안에는 위에 추출된 리스트중 20회 초과하는 시도의 아이피만 적어집니다.
그럼 /tmp/blacklist의 파일을 읽어들여서 firewall 명령어 (Centos 7)로
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='IP' reject"
만 실행하고 방화벽을 재시작 하면 됩니다.
그래서 최종 스크립트는
-------------------------------------------------------------------------------------------------------------------------
#!/bin/bash
grep "LOGIN" /var/log/maillog | awk '{print $7 $8}' | sort | grep SASL | uniq -c | sort -r > /tmp/spamlist
while read A B
do
if [ ${A} -gt 20 ]
then
echo ${B} |awk -F[ '{print $2}' |awk -F] '{print $1}' >> /tmp/blacklist
fi
done < /tmp/spamlist
while read C
do
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='${C}' reject"
done < /tmp/blacklist
firewall-cmd --reload
-------------------------------------------------------------------------------------------------------------------------
위와 같이 하면 실행은 잘됩니다.
제가 하고싶은건 spamlist 파일이나 blacklist 파일 등의 생성을 최소화 하고
while do 등의 중복 사용을 최소한 줄이고자 합니다.
조언 부탁드립니다.
| 
등록안내
등록안내
0
1
Bolt950
다른 이유로 Fail2ban에서 이 부분만 따로 빼내서 구현하려고 하는중입니다.