Блокировка IP по статистике - Какие есть решения?

от чего защищаешься? 100 запросов в минуту - это не DoS.

Хочу защитить сервер с досками (раздаются на халяву, поэтому их там много) от сканирования. Цель сканирования, естественно, сбор емейлов. Скрипт сервера сам защищаться не может, и менять там что-либо тоже нельзя... В общем мысль рубить злые IP на файрволе.

man iptables->limit :)

Поковырялся с модулем limit у iptables, однако это совсем не то. Мне необходимо блокировать злой IP совсем, а не ограничивать число пакетов для интерфейса. Т.е. раз попался и допустим час нет доступа к серверу или хотябы блокировать пожизненно (до снятия в ручную).

У меня все светлые идеи закончились :( Спасайте... Кстати, посмотрел PortSentry, но это только защита от сканирования портов, да и похоже этот проект "приказал долго жить". На Psionic нет никакой инфы да и в других местах не густо.

> У меня все светлые идеи закончились

на 100 запросах в минуту можно парсить логи апача запросто. По результатам парсенья - отстрельвать.

> на 100 запросах в минуту можно парсить логи апача запросто. В среднем запросов гораздо больше 100 в минуту. Дело в том, что отстреливать надо тех умников, которые сгенерили больше 100 запросов с одного IP за минуту. Хотя светлая мысль в этом есть, 100 метров логов в день это не такая уж и большая проблема для лог парсера... Кстати, можно еще попробовать на web сервере считать запросы и в случае привышения лимита выдывать в заголовок X-строчку, которую ловить snort-ом и передавать flexresp-у чтобы разобрался. Но как то это все муторно выглядит, и денег на то что это сработает я бы не поставил (нарушение правила ведь будет от сервера исходить). P.S. Вот ведь... проблема вроде и не проблема вовсе, а дело запоем пахнет, надо спасать человека 8-)

я бы сделал так: ограничить кол-во соединений для каждого ip, предварительно отключив в апаче keep-alive. для этого есть mod_limitipconn в гугле поищи короче :)

Я немного по другому сделал, дописал cgi кусок который логит IP в таблицу + скрипт, запускаемый каждую минуту по крону, чистит эту таблицу попутно выясняя был ли в период (NOW(), NOW() - 1 min) злой IP если был, то зовет iptables на помощь :) Грубо говоря отстреливает обходя доверенные адреса из списка (чтобы себя не отстрелить случайно).

Лучше читай лимит. Там можно это сделать. Например, разрешить 100 пакетов в год :) Задел тебя - ждёт год пока новая сотня не набежит.