fail2ban-log4j

مرشح fail2ban يكتشف الهجمات الموجهة ضد log4j CVE-2021-44228

التثبيت

انسخ هذا الملف إلى دليل filter.d الخاص بـ fail2ban، والذي يكون عادةً مثل
/etc/fail2ban/filter.d
أو ما شابه ذلك.

أضف قسم apache-jndi إلى ملف jail.local أو jail.conf:

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/log/apache2/access.log
bantime = 86400
maxretry = 1

إذا كنت بحاجة إلى مراقبة عدة مواقع، فقد تساعدك أحرف البدل (wildcards):

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/www/*/logs/access.log
bantime = 86400
maxretry = 1

مسار السجل (Logpath) لخوادم LAMP المُدارة عبر ispConfig:

logpath = /var/www/clients/client*/web*/log/access.log

هذه أمثلة تفترض:

• أن محاولة واحدة تكفي لمعرفة أنهم مخترقون
• أنك تريد فقط حظر حركة مرور http(s) الإضافية. بالطبع، قد تود أيضًا حظر أي منافذ أخرى.

الفعالية

حتى الآن، يلتقط هذا التعبير النمطي (regex) طلبات jndi:ldap التي تحتوي على "jndi:ldap" ونسخة مموّهة واحدة تستخدم "lower".
سأضيف المزيد بمجرد العثور عليها، لكن لا تتردد في إرسال اقتراحاتك.