Outro detalhe Maurício, é nem no console como no log aparece o IP do invasor.
Em 9 de agosto de 2014 14:57, dbbrito <[email protected]> escreveu: > Sim maurício, já tinha, veja abaixo: > > failregex = ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Registration from > '[^']*' failed for '<HOST>(:\d+)?' - (Wrong password|Username/auth name > mismatch|No matching peer found|Not a local domain|Device does not match > ACL|Peer is not supposed to register|ACL error \(permit/deny\)|Not a local > domain)$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Call from '[^']*' > \(<HOST>:\d+\) to extension '\d+' rejected because extension not found in > context 'default'\.$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Host <HOST> failed > to authenticate as '[^']*'$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s No registration for > peer '[^']*' \(from <HOST>\)$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Host <HOST> failed > MD5 authentication for '[^']*' \([^)]+\)$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Failed to > authenticate (user|device) [^@]+@<HOST>\S*$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s > (?:handle_request_subscribe: )?Sending fake auth rejection for > (device|user) \d*<sip:[^@]+@<HOST>>;tag=\w+\S*$ > ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s > SecurityEvent="(FailedACL|InvalidAccountID|ChallengeResponseFailed|InvalidPassword)",EventTV="[\d-]+",Severity="[\w]+",Service="[\w]+",EventVersion="\d+",AccountID="\d*",SessionID="0x[\da-f]+",LocalAddress="IPV[46]/(UD|TC)P/[\da-fA-F:.]+/\d+",RemoteAddress="IPV[46]/(UD|TC)P/<HOST>/\d+"(,Challenge="\w+",ReceivedChallenge="\w+")?(,ReceivedHash="[\da-f]+")?(,ACLName="\w+")?$ > > ^(%(__prefix_line)s|\[\]\s*WARNING%(__pid_re)s:?(?:\[C-[\da-f]*\])? )Ext\. > s: "Rejecting unknown SIP connection from <HOST>"$ > > ignoreregex = > > > > Em 9 de agosto de 2014 14:51, Mauricio Magalhães < > [email protected]> escreveu: > > Vc tem certeza?? >> >> Verifique se realmente a linha >> >> ^%(log_prefix)s Failed to authenticate >> >> existe >> >> Pq aqui o meu barra, por padrão o fail2ban não vem com essa conf. >> >> Abraçõ >> >> >> >> >> *Maurício Magalhães.*Analista de Rede e Segurança. >> ITIL® V3 Certification, >> >> >> >> Em 9 de agosto de 2014 13:48, dbbrito <[email protected]> escreveu: >> >> Maurício, o meu já tem essa regra, mas mesmo assim não bloqueia. Alguém >>> mais passando raiva com esse tipo de tentativa de ataque: for SUBSCRIBE ??? >>> >>> >>> 2014-07-31 18:55 GMT-03:00 Mauricio Magalhães < >>> [email protected]>: >>> >>> Ou >>>> >>>> Crie um filter e o coloque-o no dir filter.d e aponte pra ele no >>>> join.conf >>>> abs >>>> >>>> >>>> >>>> [INCLUDES] >>>> >>>> # Read common prefixes. If any customizations available -- read them >>>> from >>>> # common.local >>>> before = common.conf >>>> >>>> [Definition] >>>> >>>> # Option: failregex >>>> # Notes.: regex to match the password failures messages in the logfile. >>>> # Values: TEXT >>>> # >>>> log_prefix= \[\]\s*(?:NOTICE|SECURITY)%(__pid_re)s:?(?:\[\S+\d*\])? >>>> \S+:\d* >>>> >>>> failregex = ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - Wrong password$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - No matching peer found$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - Username/auth name mismatch$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - Device does not match ACL$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - Peer is not supposed to register$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - ACL error \(permit/deny\)$ >>>> ^%(log_prefix)s Registration from '[^']*' failed for >>>> '<HOST>(:\d+)?' - Not a local domain$ >>>> ^%(log_prefix)s Call from '[^']*' \(<HOST>:\d+\) to >>>> extension '\d+' rejected because extension not found in context >>>> 'default'\.$ >>>> ^%(log_prefix)s Host <HOST> failed to authenticate as >>>> '[^']*'$ >>>> ^%(log_prefix)s No registration for peer '[^']*' \(from >>>> <HOST>\)$ >>>> ^%(log_prefix)s Host <HOST> failed MD5 authentication for >>>> '[^']*' \([^)]+\)$ >>>> ^%(log_prefix)s Failed to authenticate (user|device) >>>> [^@]+@<HOST>\S*$ >>>> ^%(log_prefix)s (?:handle_request_subscribe: )?Sending fake >>>> auth rejection for (device|user) \d*<sip:[^@]+@<HOST>>;tag=\w+\S*$ >>>> ^%(log_prefix)s >>>> SecurityEvent="(FailedACL|InvalidAccountID|ChallengeResponseFailed|InvalidPassword)",EventTV="[\d-]+",Severity="[\w]+",Service="[\w]+",EventVersion="\d+",AccountID="\d+",SessionID="0x[\da-f]+",LocalAddress="IPV[46]/(UD|TC)P/[\da-fA-F:.]+/\d+",RemoteAddress="IPV[46]/(UD|TC)P/<HOST>/\d+"(,Challenge="\w+",ReceivedChallenge="\w+")?(,ReceivedHash="[\da-f]+")?$ >>>> >>>> # Option: ignoreregex >>>> # Notes.: regex to ignore. If this regex matches, the line is ignored. >>>> # Values: TEXT >>>> # >>>> ignoreregex = >>>> >>>> ##end## >>>> >>>> >>>> >>>> >>>> >>>> *Maurício Magalhães. *Analista de Rede e Segurança. >>>> ITIL® V3 Certification, >>>> >>>> >>>> >>>> Em 31 de julho de 2014 18:31, Hudson Cardoso <[email protected] >>>> > escreveu: >>>> >>>>> Coloca isso no teu contexto default... >>>>> {noop(tentativa de invasao de : ${CALLERID(num)}, >>>>> discando ${EXTEN}); >>>>> noop(desligando e colocando o invasor no iptables >>>>> ip = ${CHANNEL(peerip)} ); >>>>> system(sbin/iptables -I INPUT -s >>>>> ${CHANNEL(peerip)} -j DROP); >>>>> hangup;} >>>>> >>>>> >>>>> >>>>> >>>>> >>>>> Hudson >>>>> (048) 8413-7000 >>>>> Para quem nao cre, nenhuma prova converte,Para aquele que cre, nenhuma >>>>> prova precisa. >>>>> >>>>> >>>>> >>>>> ------------------------------ >>>>> Date: Thu, 31 Jul 2014 18:26:52 -0300 >>>>> From: [email protected] >>>>> To: [email protected] >>>>> Subject: [AsteriskBrasil] fail2ban >>>>> >>>>> >>>>> Amigos, alguém sabe alguma forma de bloquear esse pirata pelo fail2ban >>>>> >>>>> chan_sip.c:27834 handle_request_subscribe: Failed to authenticate >>>>> device >>>>> <sip:[email protected]>;tag=osR6H9KXisZSkohZxg9h1oudOecHIcNe >>>>> for SUBSCRIBE >>>>> >>>>> obrigado >>>>> >>>>> _______________________________________________ WORKOFFEE KHOMP: >>>>> Eventos Khomp na sua cidade! Desenvolva seu conhecimento na tecnologia e >>>>> portf�lio Khomp. Pr�xima edi��o em CURITIBA, 7 de agosto. Inscri��es >>>>> GRATUITAS. Garanta a sua vaga e saiba mais em: www.workoffee.com.br >>>>> _______________________________________________ ALIGERA � Fabricante e >>>>> desenvolvedor nacional de Solu��es para telefonia IP . Gateway Sip, Placas >>>>> de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. Banco de Canais Anal�gicos >>>>> � Appliance Asterisk Acesse www.aligera.com.br >>>>> _______________________________________________ Para remover seu email >>>>> desta lista, basta enviar um email em branco para >>>>> [email protected] >>>>> >>>>> _______________________________________________ >>>>> >>>>> WORKOFFEE KHOMP: Eventos Khomp na sua cidade! Desenvolva seu >>>>> conhecimento na tecnologia e portfólio Khomp. Próxima edição >>>>> em CURITIBA, 7 de agosto. Inscrições GRATUITAS. >>>>> >>>>> Garanta a sua vaga e saiba mais em: www.workoffee.com.br >>>>> _______________________________________________ >>>>> >>>>> ALIGERA – Fabricante e desenvolvedor nacional de Soluções para >>>>> telefonia IP . >>>>> >>>>> Gateway Sip, Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>>>> Banco de Canais Analógicos – Appliance Asterisk >>>>> >>>>> Acesse www.aligera.com.br >>>>> _______________________________________________ >>>>> Para remover seu email desta lista, basta enviar um email em branco >>>>> para [email protected] >>>>> >>>> >>>> >>>> _______________________________________________ >>>> >>>> WORKOFFEE KHOMP: Eventos Khomp na sua cidade! Desenvolva seu >>>> conhecimento na tecnologia e portfólio Khomp. Próxima edição >>>> em CURITIBA, 7 de agosto. Inscrições GRATUITAS. >>>> Garanta a sua vaga e saiba mais em: www.workoffee.com.br >>>> _______________________________________________ >>>> >>>> ALIGERA – Fabricante e desenvolvedor nacional de Soluções para >>>> telefonia IP . >>>> Gateway Sip, Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>>> Banco de Canais Analógicos – Appliance Asterisk >>>> Acesse www.aligera.com.br >>>> _______________________________________________ >>>> Para remover seu email desta lista, basta enviar um email em branco >>>> para [email protected] >>>> >>> >>> >>> _______________________________________________ >>> >>> WORKOFFEE KHOMP: Eventos Khomp na sua cidade! Desenvolva seu >>> conhecimento na tecnologia e portfólio Khomp. Próxima edição >>> em CURITIBA, 7 de agosto. Inscrições GRATUITAS. >>> Garanta a sua vaga e saiba mais em: www.workoffee.com.br >>> _______________________________________________ >>> >>> ALIGERA – Fabricante e desenvolvedor nacional de Soluções para telefonia >>> IP . >>> Gateway Sip, Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>> Banco de Canais Analógicos – Appliance Asterisk >>> Acesse www.aligera.com.br >>> _______________________________________________ >>> Para remover seu email desta lista, basta enviar um email em branco para >>> [email protected] >>> >> >> >> _______________________________________________ >> >> WORKOFFEE KHOMP: Eventos Khomp na sua cidade! Desenvolva seu >> conhecimento na tecnologia e portfólio Khomp. Próxima edição >> em CURITIBA, 7 de agosto. Inscrições GRATUITAS. >> Garanta a sua vaga e saiba mais em: www.workoffee.com.br >> _______________________________________________ >> >> ALIGERA – Fabricante e desenvolvedor nacional de Soluções para telefonia >> IP . >> Gateway Sip, Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >> Banco de Canais Analógicos – Appliance Asterisk >> Acesse www.aligera.com.br >> _______________________________________________ >> Para remover seu email desta lista, basta enviar um email em branco para >> [email protected] >> > >
_______________________________________________ WORKOFFEE KHOMP: Eventos Khomp na sua cidade! Desenvolva seu conhecimento na tecnologia e portfólio Khomp. Próxima edição em CURITIBA, 7 de agosto. Inscrições GRATUITAS. Garanta a sua vaga e saiba mais em: www.workoffee.com.br _______________________________________________ ALIGERA Fabricante e desenvolvedor nacional de Soluções para telefonia IP . Gateway Sip, Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. Banco de Canais Analógicos Appliance Asterisk Acesse www.aligera.com.br _______________________________________________ Para remover seu email desta lista, basta enviar um email em branco para [email protected]
