Kommentarspammer abwehren mit fail2ban

/etc/fail2ban/jail.local

[s9y]

enabled = true
port = http
filter = s9y-trackback-spam
logpath = /var/log/apache*/*access.log
maxretry = 3

Der logpath und ggf. der port müssen an die eigene Webserver-Konfiguration angepaßt werden. maxretry ist die maximale Anzahl der Zugriffe, die von einer IP-Adresse innerhalb der durch findtime festgelegten Zeitspanne in Sekunden erfolgen darf - da findtime hier nicht angegeben ist, gilt der Standard von 600 Sekunden.

/etc/fail2ban/filter.de/s9y-trackback-spam.conf

[Definition]

# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching.
# Values: TEXT
#
failregex = ^<HOST> .*POST /comment.php

# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

Mit dieser Konfiguration als Zusatz zur mit Debian Etch ausgelieferten fail2ban-Standardkonfiguration können Kommentarspammer genau dreimal innerhalb von 10 Minuten zugreifen - der vierte Zugriff "erdet" die Quell-IP dann für 10 Minuten per iptables-Regel, so daß sie keinen Zugriff mehr auf den Webserver hat.

Bei mir hat die angegebene Konfiguration nachhaltig für Ruhe gesorgt, ohne daß mir negative Effekte bekannt geworden sind. Wer viele "Kurzkommentierer" in seinem Blog hat, muß eventuell die findtime verkürzen oder den Wert für maxretry erhöhen.