ChallengeSent Asterisk

Поэтому я не вижу собятия неуспешной авторизации и не могу заблокировать

Можно править регулярки fail2ban чтоб он блокировал по тем строкам, которые есть

Проблема в том, что любому соединению указанное выше событие предшествувет

Поэтому заблокировать источник не могу

+
Других событий после «опасного» нет!

Есть такой трюк, регистрируем домен и настраиваем sip domains support в sip.conf так чтобы астериск принил запросы только если домен в запросе совпадает со списком разрешенных. Потенциальный хакер знает IP адрес сервера, но не знает какой домен ему выставить в INVITE. Профит

Добавь в iptables:

-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "sipvicious" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "sipsak" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "iWar" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "sundayddr" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "sip-scan" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m multiport --dports 5060,5061 -m string --string "friendly-scanner" --algo bm --to 65535 -j DROP

И 99% подобного отобьется.

регистрируем домен и настраиваем sip domains

Если мы увидем другое сообщение в «SECURITY» и по нему сможем принять решение: «Не указали домен „pbx.example.com“, значит блокируем!»

Спасибо, за идею! Кстате в Fail2Ban and unauthorized invites нашел обсуждение этой же проблемы, а в конце автор «voiplinux» разместил ссылку на пример iptables Securing your asterisk server.

Заблочить через fw

Добавь в iptables

Добавил!

И 99% подобного отобьется.

Посмотрим...

Заблочить через fw

Что?

iptables -A INPUT -m string --string "REGISTER sip:" --algo bm --to 65 -m hashlimit --hashlimit 4/minute --hashlimit-burst 1 --hashlimit-mode srcip,dstport --hashlimit-name sip_r_limit -j ACCEPT

Вот это тоже охладит пыл посылать регистрации.

и не могу заблокировать 194.247.165.16

В смысла, у тебя публичный sip сервер?

В смысла, у тебя публичный sip сервер?

Пока да. Но вижу идея плохая, придется регистрации прятать в туннель ppp, вроде он у всех аппаратов есть.

В качестве возможного решения. Посмотреть на журнал и сгурппировать события в разрезе ip за N минут. Если, кроме событий ChallengeSent других нет, пррнимаем решение, что это бот и дописываем правила iptables в бан. Вот только этот список так может увеличится, что способ может показаться не приемлемым.