动态检测secure日志文件，iptables拒绝恶意IP

这个脚本的作用是定期检查系统secure日志，一旦发现有恶意IP在猜测SSH密码，则记录该IP并将之加入到iptables的DROP行列里。此脚本只检测非法用户登录失败的日志，如果用户是有效的不会检测。所以笔者建议禁止系统root用户SSH，并且你常用的帐户名设一个不容易被猜到的名字。

#!/bin/bash
# Author : Daihaijun. 2008-9-8
# Last Modify: 2008-9-11
# vi /var/spool/cron/root
# */10 * * * * /data/shell/chksship/chksship.sh.x
SECURE_LOG="/var/log/secure"
IPTABLES_CMD="/sbin/iptables"
SSHIPCHK_DIR="/var/log/chksship"
FAILEDIP="$SSHIPCHK_DIR/sshfailip"
DENYSSHIP_FILE="$SSHIPCHK_DIR/denysshiplist"
DENYSSHIP_LOG="$SSHIPCHK_DIR/denysshiplog"
TEMPFAILEDIP="$SSHIPCHK_DIR/tempfailip"
INPUTCHAIN="RH-Firewall-1-INPUT"
LOCKFILE="/var/run/chkssh.lock"
#
# If this script is running on ,exit,else create a lock file.
if [ -e "${LOCKFILE}" ];then
  echo "This script is running..."
  sleep 3
  exit 0
else
  touch ${LOCKFILE}
fi
#
if [ ! -d $SSHIPCHK_DIR ];then
   mkdir -p $SSHIPCHK_DIR
fi
#
if [ ! -f $SSHIPCHK_DIR/oldnum ];then
   touch $SSHIPCHK_DIR/oldnum
   echo 0 > $SSHIPCHK_DIR/oldnum
fi
if [ ! -f $DENYSSHIP_LOG ];then
   touch $DENYSSHIP_LOG
fi
#定义一个函数，取负数的绝对值
ABS()
{
echo $1 | awk '{print sqrt($1*$1)}';
}

OLD_LAST_LINE_NUM=`cat $SSHIPCHK_DIR/oldnum`

wc -l $SECURE_LOG |awk '{ print $1 }' > $SSHIPCHK_DIR/newnum

CUR_LAST_LINE_NUM=`cat $SSHIPCHK_DIR/newnum`

W=$(($CUR_LAST_LINE_NUM - $OLD_LAST_LINE_NUM))
Z=`ABS $W`
DYNAMIC_SCAN()
{
/usr/bin/tail -$Z $SECURE_LOG| awk -F: '/Failed/ { print $7 }' |cut -d" " -f1| \
sort -n|uniq -c|sort -rn > $TEMPFAILEDIP
/bin/awk '{ if ( $1>3 ) print $2 }' $TEMPFAILEDIP > $DENYSSHIP_FILE
/bin/echo "`date +%Y-%m-%d_%H:%M:%S`" >> $FAILEDIP
/bin/cat $DENYSSHIP_FILE >> $DENYSSHIP_LOG
/bin/cat $TEMPFAILEDIP >> $FAILEDIP
/bin/cat $SSHIPCHK_DIR/newnum > $SSHIPCHK_DIR/oldnum
}

#下面这个函数的作用是如果DROP的IP达到100，则开始清空这些曾经被DROP的IP。一来iptables表逐渐变得庞大影响效率；(以后考虑根据时间来释放被拒绝的IP)

二来这种类型的恶意IP都是短时间内攻击，即使再次恶意访问，仍旧会被脚本再次列入DROP规则里，所以清理是有好处的。
CLEAR_RULE()
{
DENYIP_RULE_LIST=`/sbin/iptables-save |awk '{ if ( $6=="DROP" ) print $4 }'|sed /^$/d`
DENYIP_RULE_NUM=`/sbin/iptables-save |awk '{ if ( $6=="DROP" ) print $4 }'|sed /^$/d|wc -l`

if [ "$DENYIP_RULE_NUM" -ge "100" ];then
  for dip in $DENYIP_RULE_LIST
  do
    $IPTABLES_CMD -D $INPUTCHAIN -s $dip -j DROP
  done
else
  /bin/echo "`date +%Y-%m-%d_%H:%M:%S`" >> $FAILEDIP
  rm -fr $LOCKFILE
  exit 0
fi
/bin/echo "`date +%Y-%m-%d_%H:%M:%S`" >> $FAILEDIP
}


if [ "$W" -eq "0" ];then
T=ZERO
fi

if [ "$W" -gt "0" ];then
T=GTZERO
fi

if [ "$W" -lt "0" ];then
T=LTZERO
fi

case "$T" in
     ZERO)
       CLEAR_RULE;;
     GTZERO)
       DYNAMIC_SCAN;;
     LTZERO)
       echo 0 > $SSHIPCHK_DIR/oldnum
       Z=$CUR_LAST_LINE_NUM
       DYNAMIC_SCAN;;
esac

for ip in `cat $DENYSSHIP_FILE` ; do
    if [ -z "`/sbin/iptables-save |grep $ip`" ];then
        $IPTABLES_CMD -I $INPUTCHAIN -s $ip -j DROP
    fi
#        /etc/init.d/iptables save
done
/bin/cat /dev/null > $DENYSSHIP_FILE
rm -fr $LOCKFILE
exit 0
############### Script End #################