Почему Fail2ban не всех банит? Как добавить правило на message?

Question

[krll-k]

Смотрим сообщение:

[Nov 26 09:50:03] SECURITY[57]: res_security_log.c:116 security_event_stasis_cb: SecurityEvent="ChallengeSent",EventTV="2016-11-26T09:50:03.677+0000",Se
verity="Informational",Service="SIP",EventVersion="1",AccountID="sip:900@188.166.54.230",SessionID="0x7ff7140811e8",LocalAddress="IPV4/UDP/188.166.54.23
0/5060",RemoteAddress="IPV4/UDP/209.126.117.223/5070",Challenge="042b3eca"

Смотри в наш Fail2ban:

root@localhost:/asterisk-13.10.0# fail2ban-client status asterisk                                                                                       
Status for the jail: asterisk                                                                                                                           
|- Filter                                                                                                                                               
|  |- Currently failed: 0                                                                                                                               
|  |- Total failed:     1232                                                                                                                            
|  `- File list:        /var/log/asterisk/messages                                                                                                      
`- Actions                                                                                                                                              
   |- Currently banned: 3                                                                                                                               
   |- Total banned:     3                                                                                                                               
   `- Banned IP list:   23.239.86.114 213.202.233.189 155.94.64.74

Понимаем, что Fail2ban не умеет банить таких. Как исправить?

UPD. У меня нет 900 абонента, как видите:

localhost*CLI> sip show peers                                                                                                                           
Name/username             Host                                    Dyn Forcerport Comedia    ACL Port     Status      Description                        
1000/1000                 0.0.0.0                           D  No         No             53225    Unmonitored                                    
1001/1001                 (Unspecified)                            D  No         No             0        Unmonitored                                    
multifon-out/89997776655 193.201.229.35                              Yes        Yes            5060     Unmonitored                                    
3 sip peers [Monitored: 0 online, 0 offline Unmonitored: 2 online, 1 offline]

Comments

[Viktor]

банятся по двух условиям - первое у вас сработало и второе звучит количество попыток за определенное время (если будут делать по 2 попытки в час - их не забанит никогда )

[krll-k]

Viktor: а мне кажется он делает куда больше запросов чем запросов, чем два запроса

Answer 1

[Rsa97]

А за что таких банить? Штатное сообщение одного из этапов аутентификации, отправка Challenge.

Comments

[krll-k]

Rsa97 обновил вопрос

[Rsa97]

Kirill Kuznetsov: Так а fail2ban то не знает списка ваших абонентов, он просто проверяет строку по набору регулярных выражений.

[krll-k]

Rsa97: а случаем его нельзя настроить так чтоб он знал список моих абонентов, не знаешь?

[Rsa97]

Kirill Kuznetsov: fail2ban работает по списку фильтров. Для астериска они хранятся в файле /etc/fail2ban/filter.d/asterisk.conf, сожете дописать туда свои правила.
Но, IMHO, смысла фильтровать по указанной строке нету, это всего лишь отправка клиенту challenge/nonce запроса. По логике, после неё для левых клиентов должно пройти событие ChallengeResponseFailed или InvalidPassword, а эти события и так есть в фильтре.

[krll-k]

Rsa97: подскажи пожалуйста какой командой посмотреть какие фильтры у меня сейчас стоят?

[Rsa97]

Kirill Kuznetsov: Команды не знаю, но вся конфигурация в текстовых файлах хранится. Папка /etc/fail2ban и её подпапки.

Answer 2

[silverjoe]

Возможно вам поможет настройка iptables, как в этом ответе FreePBX friendly scanner, как завалить?
Комментарий тоже прочтите.

Таким образом вы отсечете программы для брутфорса