Список взломщиков, полученный на основе анализа журнала безопасности
Анализируя журнал безопасности системы, я добавляю в iptables правила, блокирующие доступ с адресов, с которых замечены попытки вторжения. В большинстве случаев в черный список попадают товарищи, пытающиеся залезть в систему по SSH; иногда я добавляю злостных хакеров, пытающихся устроить DoS или проводящих SQL injection/сканирование на наличие уязвимостей (поиск таких вот товарищей приходится осуществлять вручную, ибо их методы очень различны, и автоматический анализатор, дающий хотя бы 85% гарантию обнаружения, я пока еще не написал).
В надежде, что этот список (оформленный в виде правил для iptables) окажется кому-нибудь полезным (он будет периодически обновляться), выкладываю его в общее пользование.
iptables -I INPUT -s 88.191.0.0/16 -j DROP iptables -I INPUT -s 195.146.32.0/24 -j DROP iptables -I INPUT -s 211.20.47.0/24 -j DROP iptables -I INPUT -s 61.32.0.0/16 -j DROP iptables -I INPUT -s 61.33.0.0/16 -j DROP iptables -I INPUT -s 61.34.0.0/16 -j DROP iptables -I INPUT -s 61.35.0.0/16 -j DROP iptables -I INPUT -s 61.36.0.0/16 -j DROP iptables -I INPUT -s 61.37.0.0/16 -j DROP iptables -I INPUT -s 61.38.0.0/16 -j DROP iptables -I INPUT -s 61.39.0.0/16 -j DROP iptables -I INPUT -s 61.40.0.0/16 -j DROP iptables -I INPUT -s 61.41.0.0/16 -j DROP iptables -I INPUT -s 61.42.0.0/16 -j DROP iptables -I INPUT -s 61.43.0.0/16 -j DROP iptables -I INPUT -s 222.240.0.0/16 -j DROP iptables -I INPUT -s 203.189.0.0/16 -j DROP iptables -I INPUT -s 211.101.34.0/24 -j DROP iptables -I INPUT -s 220.90.217.0/24 -j DROP iptables -I INPUT -s 61.163.0.0/16 -j DROP iptables -I INPUT -s 203.128.0.0/16 -j DROP iptables -I INPUT -s 202.202.0.0/16 -j DROP iptables -I INPUT -s 219.94.128.0/17 -j DROP iptables -I INPUT -s 221.236.0.0/15 -j DROP iptables -I INPUT -s 193.239.64.0/24 -j DROP iptables -I INPUT -s 210.12.0.0/14 -j DROP iptables -I INPUT -s 211.170.0.0/16 -j DROP iptables -I INPUT -s 194.242.233.0/24 -j DROP iptables -I INPUT -s 59.108.0.0/16 -j DROP iptables -I INPUT -s 202.45.0.0/16 -j DROP iptables -I INPUT -s 77.249.197.0/24 -j DROP iptables -I INPUT -s 211.236.180.0/25 -j DROP iptables -I INPUT -s 211.60.155.0/24 -j DROP iptables -I INPUT -s 218.9.0.0/16 -j DROP iptables -I INPUT -s 131.173.161.0/24 -j DROP iptables -I INPUT -s 82.196.86.2 -j DROP iptables -I INPUT -s 218.210.0.0/15 -j DROP iptables -I INPUT -s 61.164.68.128/29 -j DROP iptables -I INPUT -s 65.36.177.0/24 -j DROP
Политика здесь такая: если атака идет из Китая/Кореи/Японии/Пакистана, блокируется весь диапазон адресов, принадлежащий атакующему (диапазон получается через whois). В зависимости от "тяжести" (метода сканирования, количества попыток, наглости и т.п.) диапазон может сужаться или расширяться (особенно, если организация — университет).
Надеюсь, кому-нибудь списочек пригодится…
Добро пожаловать в чёрный список!
SSH:
FTP:
Relaying: