텍스트 처리는 로그에 너무 자주 나타나는 IP 주소를 필터링하여 거부 목록에 추가합니다.

Question

나는 작은 프로젝트를 썼다TxR이런 일을 하는 것을 소위txrban. 나는 수년간 이것을 운영해 왔습니다. 불행히도 문서화되어 있지 않습니다.

프로그램 apache.txr, exim.txr및 ssh.txr은 진입점입니다. 이 프로그램은 웹 서버 로그, 메일 서버 로그 및 auth.logSSH 활동을 검사합니다. 이러한 프로그램 중 하나를 복제 apache.txr하고 원하는 대로 조정할 수 있습니다.

이러한 프로그램은 기본 txrban.txr모듈을 로드하며, 이름을 바꾸고 편집해야 하는 샘플 버전만 존재하지 않는 .git utils.txr저장소 도 로드합니다.config.txrconfig.txr

이 startup.sh스크립트는 부팅 시 세 가지 프로세스를 시작하는 데 사용됩니다. 이 프로그램은 TXR Lisp의 기능을 통해 daemon자체적으로 데몬화되며 syslog금지 및 금지 해제 이벤트를 보고하는 데 사용됩니다.

금지된 주소는 지속되지 않으며 단순히 메모리 내 해시 테이블에 보관됩니다. (패치 환영.) 시작 시 프로그램은 기존 로그를 읽고 모든 암시적 금지 및 금지 해제를 수행한 다음(시간이 걸릴 수 있음) 라이브 모드로 전환하여 로그를 추적하고 새로운 자료에 반응합니다.

이 config.txr파일에는 다양한 매개변수가 있습니다.

*ban-duration*포인트 기반 금지 에 사용됩니다 . 로그 스캔 포인트는 0이 아닌 점수뿐만 아니라 IP 주소도 보고할 수 있습니다. 해당 주소는 *ban-duration*점수를 목록의 색인으로 사용하여 결정된 기간 동안 즉시 금지됩니다 .

매개변수 *short-period*, *short-limit*및 *short-ban*해당 long대응 항목은 시간 기반 금지를 결정합니다. 기간은 관심 있는 액세스 기간이며, 이 기간 내 최대 방문 횟수로 제한됩니다. 이 ban값은 금지 기간입니다. IP 주소의 액세스 패턴이 장기 금지 매개변수를 위반하는 경우 해당 IP 주소는 장기 금지 대상이 됩니다. 그렇지 않은 경우 단기 금지를 위반하면 그에 따라 금지됩니다.

기본 프로그램은 report로그를 스캔하고 IP 주소, 시간 및 지점의 세 가지 매개변수로 이 함수를 호출하여 흥미로운 이벤트를 보고합니다. (SSH 모듈은 네 번째 선택적 매개변수를 사용하여 특정 IP 주소에서 로그인을 시도한 사용자 ID를 보고합니다. SSH 모듈은 여러 사용자 ID로 로그인에 실패한 IP 주소에 페널티를 적용합니다.)

Answer 1