环境介绍：http是一个tomcat 的js程序 ，设置的路径为/opt/tomcat5/logs/localhost_access_log.txt
OS:centos 5.3  fail2ban版本:fail2ban-0.8.2-3.el5.rf.noarch.rpm
官方网站：http://www.fail2ban.org/wiki/index.php/Main_Page

背景：及时发现别人的恶意请求并禁止

步骤：

1.安装fail2ban
这里我走了弯路，下源码包安装报错，大家可以这个网址下载:http://packages.sw.be/fail2ban/

 

   
   
   
   
    
    
    
    
    
  1. #rpm -ivh fail2ban-0.8.23.el5.rf.noarch.rpm 
    2.

 

2.配置fail2ban的自定义过滤规则
分析/opt/tomcat5/logs/localhost_access_log.txt  日志的恶意请求如下 ：

 

   
   
   
   
    
    
    
    
    
  1. 192.168.32.41 - - [10/Sep/2010:18:11:27 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    2. 
    
    
    
    
  2. 192.168.32.41 - - [10/Sep/2010:18:11:27 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    3. 
    
    
    
    
  3. 192.168.32.41 - - [10/Sep/2010:18:11:29 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    4. 
    
    
    
    
  4. 192.168.32.41 - - [10/Sep/2010:18:11:29 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    5. 
    
    
    
    
  5. 192.168.32.41 - - [10/Sep/2010:18:11:29 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    6. 
    
    
    
    
  6. 192.168.32.41 - - [10/Sep/2010:18:11:29 +0800] "GET 12345678.txt HTTP/1.1" 404 1063  
    7.

从***行为特征来看, 这是短时间连续导致服务器发送HTTP 404文件未找到错误码, 下面是用于发现上述***的fail2ban filter规则,
在/etc/fail2ban/filter.d/目录下建立tomcat.conf文件保存下面的内容:

 

   
   
   
   
    
    
    
    
    
  1. [Definition]  
    2. 
    
    
    
    
  2. failregex = <HOST> -.*- .*HTTP/1.* 404 .*$  
    3. 
    
    
    
    
  3. ignoreregex = 
    4.

3.测试fail2ban的过滤规则

 

   
   
   
   
    
    
    
    
    
  1. # fail2ban-regex /opt/tomcat5/logs/localhost_access_log.txt /etc/fail2ban/filter.d/tomcat.conf 
    2.

结果如下：

 

   
   
   
   
    
    
    
    
    
  1. Running tests 
    2. 
    
    
    
    
  2. =============  
    3. 
    
    
    
    
  3.  
    4. 
    
    
    
    
  4. Use regex file : /etc/fail2ban/filter.d/tomcat.conf  
    5. 
    
    
    
    
  5. Use log file   : /opt/tomcat5/logs/localhost_access_log.txt  
    6. 
    
    
    
    
  6.  
    7. 
    
    
    
    
  7.  
    8. 
    
    
    
    
  8. Results 
    9. 
    
    
    
    
  9. =======  
    10. 
    
    
    
    
  10.  
    11. 
    
    
    
    
  11. Failregex  
    12. 
    
    
    
    
  12. |- Regular expressions:  
    13. 
    
    
    
    
  13. |  [1]  -.*- .*HTTP/1.* 404 .*$  
    14. 
    
    
    
    
  14. |  
    15. 
    
    
    
    
  15. `- Number of matches:  
    16. 
    
    
    
    
  16.    [1] 13 match(es)  
    17. 
    
    
    
    
  17.  
    18. 
    
    
    
    
  18. Ignoreregex  
    19. 
    
    
    
    
  19. |- Regular expressions:  
    20. 
    
    
    
    
  20. |  
    21. 
    
    
    
    
  21. `- Number of matches:  
    22. 
    
    
    
    
  22.  
    23. 
    
    
    
    
  23. Summary 
    24. 
    
    
    
    
  24. =======  
    25. 
    
    
    
    
  25.  
    26. 
    
    
    
    
  26. Addresses found:  
    27. 
    
    
    
    
  27. [1]  
    28. 
    
    
    
    
  28.     192.168.32.41 (Fri Sep 10 18:10:59 2010)  
    29. 
    
    
    
    
  29.     192.168.32.41 (Fri Sep 10 18:11:27 2010)  
    30. 
    
    
    
    
  30.     192.168.32.41 (Fri Sep 10 18:11:27 2010)  
    31. 
    
    
    
    
  31.     192.168.32.41 (Fri Sep 10 18:11:29 2010)  
    32. 
    
    
    
    
  32.     192.168.32.41 (Fri Sep 10 18:11:29 2010)  
    33. 
    
    
    
    
  33.     192.168.32.41 (Fri Sep 10 18:11:29 2010)  
    34. 
    
    
    
    
  34.     192.168.32.41 (Fri Sep 10 18:11:29 2010)  
    35. 
    
    
    
    
  35.     192.168.32.41 (Fri Sep 10 18:11:30 2010)  
    36. 
    
    
    
    
  36.     192.168.32.41 (Fri Sep 10 18:11:30 2010)  
    37. 
    
    
    
    
  37.     192.168.32.41 (Fri Sep 10 18:27:44 2010)  
    38. 
    
    
    
    
  38.     192.168.32.41 (Fri Sep 10 18:27:47 2010)  
    39. 
    
    
    
    
  39.     192.168.32.41 (Fri Sep 10 18:27:50 2010)  
    40. 
    
    
    
    
  40.     192.168.32.41 (Fri Sep 10 18:27:53 2010)  
    41. 
    
    
    
    
  41.  
    42. 
    
    
    
    
  42. Date template hits:  
    43. 
    
    
    
    
  43. 0 hit(s): Month Day Hour:Minute:Second  
    44. 
    
    
    
    
  44. 0 hit(s): Weekday Month Day Hour:Minute:Second Year  
    45. 
    
    
    
    
  45. 0 hit(s): Weekday Month Day Hour:Minute:Second  
    46. 
    
    
    
    
  46. 0 hit(s): Year/Month/Day Hour:Minute:Second  
    47. 
    
    
    
    
  47. 130 hit(s): Day/Month/Year:Hour:Minute:Second  
    48. 
    
    
    
    
  48. 0 hit(s): Year-Month-Day Hour:Minute:Second  
    49. 
    
    
    
    
  49. 0 hit(s): Day-Month-Year Hour:Minute:Second[.Millisecond]  
    50. 
    
    
    
    
  50. 0 hit(s): TAI64N  
    51. 
    
    
    
    
  51. 0 hit(s): Epoch  
    52. 
    
    
    
    
  52.  
    53. 
    
    
    
    
  53. Success, the total number of match is 13  
    54. 
    
    
    
    
  54.  
    55. 
    
    
    
    
  55. However, look at the above section 'Running tests' which could contain important  
    56. 
    
    
    
    
  56. information. 
    57.

4.激活fail2ban的规则
从测试结果可以看出, 恶意***节点的IP地址和***时间都能够正确发现, 因此可以进一步修改fail2ban的配置文件激活上述规则.
下面是我的/etc/fail2ban/jail.local配置文件内容:

 

   
   
   
   
    
    
    
    
    
  1. [tomcat]  
    2. 
    
    
    
    
  2. enabled = true 
    3. 
    
    
    
    
  3. port = http,https  
    4. 
    
    
    
    
  4. filter = tomcat 
    5. 
    
    
    
    
  5. action = iptables[name=tomcat, port=8080, protocol=tcp]   
    6. 
    
    
    
    
  6.          sendmail-whois[name=tomcat, dest=abc@mail.com]  
    7. 
    
    
    
    
  7. maxretry = 2 
    8. 
    
    
    
    
  8. logpath = /opt/tomcat5/logs/localhost_access_log.txt  
    9. 
    
    
    
    
  9. bantime  = 1800 
    10.

5.测试效果
生成2个错误的链接，查看fail2ban日志 如下：

 

   
   
   
   
    
    
    
    
    
  1. 2010-09-10 18:33:30,156 fail2ban.actions.action: INFO   Set actionStart = printf %b "Subject: [Fail2Ban] : started  
    2. 
    
    
    
    
  2. From: Fail2Ban <> 
    3. 
    
    
    
    
  3. To: \n  
    4. 
    
    
    
    
  4. Hi,\n  
    5. 
    
    
    
    
  5. The jail  has been started successfully.\n  
    6. 
    
    
    
    
  6. Regards,\n  
    7. 
    
    
    
    
  7. Fail2Ban" | /usr/sbin/sendmail -f    
    8. 
    
    
    
    
  8. 2010-09-10 18:33:30,157 fail2ban.actions.action: INFO   Set actionUnban =   
    9. 
    
    
    
    
  9. 2010-09-10 18:33:30,158 fail2ban.actions.action: INFO   Set actionCheck =   
    10. 
    
    
    
    
  10. 2010-09-10 18:33:31,546 fail2ban.actions: WARNING [tomcat] Ban 192.168.32.41 
    11.

 

并查看管理员邮箱 ，已经收到邮件了，内容大概如下：
 

   
   
   
   
    
    
    
    
    
  1. Hi,  
    2. 
    
    
    
    
  2.  
    3. 
    
    
    
    
  3. The IP 192.168.32.41 has just been banned by Fail2Ban after  
    4. 
    
    
    
    
  4. 4 attempts against tomcat.  
    5. 
    
    
    
    
  5.  
    6. 
    
    
    
    
  6.  
    7. 
    
    
    
    
  7. Here are more information about 192.168.32.41:  
    8. 
    
    
    
    
  8.  
    9. 
    
    
    
    
  9. [Querying whois.arin.net]  
    10. 
    
    
    
    
  10. [whois.arin.net]  
    11. 
    
    
    
    
  11. #  
    12. 
    
    
    
    
  12. # Query terms are ambiguous.  The query is assumed to be:  
    13. 
    
    
    
    
  13. #     "n 192.168.32.41"  
    14. 
    
    
    
    
  14. #  
    15. 
    
    
    
    
  15. # Use "?" to get help.  
    16.

 

6.写完收工。
上面只是根据我的需求，写的一点东西，其他很功能大家自己可以去研究 。