Kommentarspammer abwehren mit fail2ban

Saturday, December 1. 2007

Mein Blog ist zwar durch Akismet und die internen Spamschutz-Maßnahmen von Serendipity relativ gut davor geschützt, daß Kommentar- und Trackback-Spammer tatsächlchlich bis zur Anzeigeebene durchkommen. Ein intensiver Spamrun macht sich allerdings doch in der Serverlast bemerkbar. Es wäre also gut, die Spammer direkt am Zugriff auf den Webserver hindern zu können.

Zum Glück gibt es für diesen Wunsch ein brauchbares Werkzeug: fail2ban überprüft Logfiles auf (durch reguläre Ausdrücke angegebene) Ereignisse und führt wählbare Aktionen aus, wenn sich diese Ereignisse zu oft wiederholen - was "zu oft" ist, läßt sich ebenfalls in der Konfiguration definieren.

Folgende Konfigurationsschnipsel sorgen für Ruhe auf dem für das Blog zuständigen Webserver:

/etc/fail2ban/jail.local

[s9y]

enabled = true
port = http
filter = s9y-trackback-spam
logpath = /var/log/apache*/*access.log
maxretry = 3

Der logpath und ggf. der port müssen an die eigene Webserver-Konfiguration angepaßt werden. maxretry ist die maximale Anzahl der Zugriffe, die von einer IP-Adresse innerhalb der durch findtime festgelegten Zeitspanne in Sekunden erfolgen darf - da findtime hier nicht angegeben ist, gilt der Standard von 600 Sekunden.

/etc/fail2ban/filter.de/s9y-trackback-spam.conf

[Definition]

# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching.
# Values: TEXT
#
failregex = ^<HOST> .*POST /comment.php

# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

Mit dieser Konfiguration als Zusatz zur mit Debian Etch ausgelieferten fail2ban-Standardkonfiguration können Kommentarspammer genau dreimal innerhalb von 10 Minuten zugreifen - der vierte Zugriff "erdet" die Quell-IP dann für 10 Minuten per iptables-Regel, so daß sie keinen Zugriff mehr auf den Webserver hat.

Bei mir hat die angegebene Konfiguration nachhaltig für Ruhe gesorgt, ohne daß mir negative Effekte bekannt geworden sind. Wer viele "Kurzkommentierer" in seinem Blog hat, muß eventuell die findtime verkürzen oder den Wert für maxretry erhöhen.

Posted by ToJe in Admintip des Tages at 16:36 | Comments (2) | Trackbacks (3)

Defined tags for this entry: blog, linux, spam

Related entries by tags:

Short URL for this article

Trackbacks

Trackback specific URI for this entry

S9Y Trackbackspammer in iptables erden
Kommentarspammer abwehren mit fail2ban bei ToJe. Sehr nützlich.

Weblog: Die wunderbare Welt von Isotopp
Tracked: Dec 01, 17:25

Noch einmal Trackback-Spam ...
Wie bereits hier beschrieben, musste ich mich schon ausführlich mit Trackback-Spam auseinandersetzen. ToJe hat jetzt noch einen "draufgesetzt" und eine Konfiguration für fail2ban bereitgestellt. Sehr schön! Danke!

Weblog: Dirks Logbuch
Tracked: Dec 02, 08:43

IPtables um Kommentar-Spammer fernzuhalten
In "Kommentarspammer abwehren mit fail2ban" beschreibt ToJe wie man Kommentarspammer schon via Paketfilter vom Webserver fernhält. Sehr praktisch.

Weblog: c0t0d0s0.org
Tracked: Dec 02, 19:32

Comments

Display comments as (Linear | Threaded)

Ich hab sowas vor einiger Zeit auch mal gebloggt:
http://nion.modprobe.de/blog/archives/587-defeating-trackback-spam.html

Nachdem das ganze jetzt auch einige Monate läuft kann ich nur sagen, die Ergebnisse sind wirklich super, es kommt nicht wirklich was durch. Das einzige, was wichtig ist, aufpassen, dass die Logfiles nicht zu groß werden, sonst wird fail2ban wirklich extrem Ressource-fressend.
schönen gruß
- nion

#1 nion (Link) on 2007-12-02 19:03 (Reply)

Ich such schon seit einiger Zeit nach einer Regex, um den Port 8443 auf den Plesk läuft mit Fail2ban zu sichern. Leider habe ich bis jetzt noch nichts dazu gefunden. Weiss jemand eine Möglichkeit, Plesk mit Fail2ban abzusichern?

#2 Webagentur (Link) on 2008-08-22 14:51 (Reply)

Add Comment

	Aus gegebenem Anlass scheint folgender Hinweis leider nötig: Kommentare zu Werbezwecken sind ohne vorherige Kontaktaufnahme und schriftliche Einwilligung des Betreibers unerwünscht und werden generell gelöscht. Die Löschung anderer Kommentare bleibt vorbehalten Das wiederholte Einstellen gelöschter Kommentare ohne Rücksprache verpflichtet zur Zahlung einer Vertragsstrafe von 1000 Euro pro Einzelfall. Als wiederholtes Einstellen gilt auch, wenn der Kommentar im "Homepage"-Feld auf die gleiche (Werbe-)Website verweist!
Name
Email
Homepage
In reply to
Comment	E-Mail addresses will not be displayed and will only be used for E-Mail notifications. To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly. Enter the string from the spam-prevention image above: Standard emoticons like :-) and ;-) are converted to images.
	Remember Information? Subscribe to this entry