fail2ban ação personalizada para IPs de proibição permanente da China

Question

Quando um endereço IP é banido, como posso verificar se o endereço IP proibido é da China? Se sim, adicione-o à lista de banimento permanente.

Eu encontrei este guia que escreve o IP proibido para Arquivo.

Razão: Estou recebendo muitos ataques de força bruta da China diariamente, mas felizmente o fail2ban está ajudando a restringir isso, embora pareça estar piorando e eles estejam apenas alterando seu endereço IP.

Ou melhor ainda, se houvesse um banco de dados mantido de endereços IP de hackers conhecidos.

Exemplo 1

Hi,

The IP 60.169.78.77 has just been banned by Fail2Ban after
4 attempts against vsftpd.


Here are more information about 60.169.78.77:

% [whois.apnic.net node-7]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

inetnum:        60.166.0.0 - 60.175.255.255
netname:        CHINANET-AH
descr:          CHINANET anhui province network
descr:          China Telecom
descr:          A12,Xin-Jie-Kou-Wai Street
descr:          Beijing 100088
country:        CN
admin-c:        CH93-AP
tech-c:         JW89-AP
mnt-by:         APNIC-HM
mnt-routes:     MAINT-CHINANET-AH
mnt-lower:      MAINT-CHINANET-AH
status:         ALLOCATED PORTABLE
changed:        [email protected] 20040721
source:         APNIC

person:         Chinanet Hostmaster
nic-hdl:        CH93-AP
e-mail:         [email protected]
address:        No.31 ,jingrong street,beijing
address:        100032
phone:          [phone]
fax-no:         [phone]
country:        CN
changed:        [email protected] 20070416
mnt-by:         MAINT-CHINANET
source:         APNIC

person:         Jinneng Wang
address:        17/F, Postal Building No.120 Changjiang
address:        Middle Road, Hefei, Anhui, China
country:        CN
phone:          [phone]
fax-no:         [phone]
e-mail:         [email protected]
nic-hdl:        JW89-AP
mnt-by:         MAINT-NEW
changed:        [email protected] 19990818
source:         APNIC

Regards,

Fail2Ban

Exemplo 2

Hi,

The IP 60.169.78.81 has just been banned by Fail2Ban after
4 attempts against vsftpd.


Here are more information about 60.169.78.81:

% [whois.apnic.net node-6]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

inetnum:        60.166.0.0 - 60.175.255.255
netname:        CHINANET-AH
descr:          CHINANET anhui province network
descr:          China Telecom
descr:          A12,Xin-Jie-Kou-Wai Street
descr:          Beijing 100088
country:        CN
admin-c:        CH93-AP
tech-c:         JW89-AP
mnt-by:         APNIC-HM
mnt-routes:     MAINT-CHINANET-AH
mnt-lower:      MAINT-CHINANET-AH
status:         ALLOCATED PORTABLE
changed:        [email protected] 20040721
source:         APNIC

person:         Chinanet Hostmaster
nic-hdl:        CH93-AP
e-mail:         [email protected]
address:        No.31 ,jingrong street,beijing
address:        100032
phone:          [phone]
fax-no:         [phone]
country:        CN
changed:        [email protected] 20070416
mnt-by:         MAINT-CHINANET
source:         APNIC

person:         Jinneng Wang
address:        17/F, Postal Building No.120 Changjiang
address:        Middle Road, Hefei, Anhui, China
country:        CN
phone:          [phone]
fax-no:         [phone]
e-mail:         [email protected]
nic-hdl:        JW89-AP
mnt-by:         MAINT-NEW
changed:        [email protected] 19990818
source:         APNIC

Regards,

Fail2Ban

Exemplo 3

Hi,

The IP 222.133.244.99 has just been banned by Fail2Ban after
4 attempts against vsftpd.


Here are more information about 222.133.244.99:

% [whois.apnic.net node-6]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

inetnum:        222.133.244.96 - 222.133.244.127
netname:        LCZFFHQ
country:        CN
descr:          liaochenggovermentfanghuoqiang
admin-c:        DS95-AP
tech-c:         DS95-AP
status:         ASSIGNED NON-PORTABLE
changed:        [email protected] 20060122
mnt-by:         MAINT-CNCGROUP-SD
source:         APNIC

route:          222.132.0.0/14
descr:          CNC Group CHINA169 Shandong Province Network
country:        CN
origin:         AS4837
mnt-by:         MAINT-CNCGROUP-RR
changed:        [email protected] 20060118
source:         APNIC

person:         Data Communication Bureau Shandong
nic-hdl:        DS95-AP
e-mail:         [email protected]
address:        No.77 Jingsan Road,Jinan,Shandong,P.R.China
phone:          [phone]
fax-no:         [phone]
country:        CN
changed:        [email protected] 20050330
mnt-by:         MAINT-CNCGROUP-SD
source:         APNIC

Regards,

Fail2Ban

    

Answer 1

Em vez de usar o Whois para isso, eu recomendaria usar um banco de dados GeoIP disponível como o link

A maioria das linguagens de programação (como PHP, Python, Perl, ...) tem ligações para analisar esses formatos facilmente.

Um banco de dados "hacker IP" não faria mais sentido hoje, especialmente devido a:

• IPs IPv4 mudando os proprietários muito rapidamente
• Propriedade e uso de um IP é ambíguo devido a botnets generalizados
• A adoção do IPv6 (finalmente!) agrava o primeiro problema e mantém um banco de dados de 2 ^ 128 endereços é praticamente um não-go (mesmo que provavelmente seria escassa)