fail2ban-log4j

Фильтр fail2ban, который перехватывает атаки на log4j CVE-2021-44228

Установка

Скопируйте этот файл в каталог fail2ban filter.d, который обычно находится по пути
/etc/fail2ban/filter.d
или аналогичном.

Добавьте раздел apache-jndi в ваш jail.local или jail.conf:

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/log/apache2/access.log
bantime = 86400
maxretry = 1

Если вам нужно отслеживать несколько сайтов, могут помочь подстановочные знаки:

[apache-jndi]
enabled = true
filter = apache-jndi
port = http,https
logpath = /var/www/*/logs/access.log
bantime = 86400
maxretry = 1

Logpath для серверов LAMP, управляемых ispConfig:

logpath = /var/www/clients/client*/web*/log/access.log

Это примеры, предполагающие, что

• Одна попытка раскрывает, что они злоумышленники
• Вы хотите блокировать только дальнейший http(s) трафик. Конечно, вы также можете блокировать любые другие порты.

Эффективность

На данный момент это регулярное выражение перехватывает запросы jndi:ldap, содержащие "jndi:ldap", и одну запутанную версию с использованием "lower". Я добавлю больше, как только найду их, но вы можете свободно отправлять предложения.