两种方法实现
解决DOS攻击生产案例
提示：根据web日志或者网络连接数，监控当某个IP并发连接数或者段时间内PV连接到达100及使用防火墙命令封堵对应的IP，监控频率每隔3分钟；防火墙命令为：iptables -A INPUT -s 192.168.0.7 -j DROP
查看防火墙iptables -L -n
第一种：监控日志
#!/bin/sh
while true
do
cat access_log.dms|awk '{print $1}'|sort|uniq -c|sort -nr > a.log
exec< a.log
while read line
do
pv=$(echo $line|awk '{print $1}')
ip=$(echo $line|awk '{print $2}')
if [ $pv -gt 1000 ]&& [ `iptables -L -n|grep "$ip"|wc -l` -eq 0 ];then
iptables -A INPUT -s $ip -j DROP
fi
done
sleep 180
done
第二种：监控ip连接数
#!/bin/sh
while true
do
netstat -an|grep EST|awk -F '[ :]+' '{print $6}'|sort|uniq -c >a.log
exec< a.log
while read line
do
pv=$(echo $line|awk '{print $1}')
ip=$(echo $line|awk '{print $2}')
if [ $pv -gt 1000 ]&& [ `iptables -L -n|grep "$ip"|wc -l` -eq 0 ];then
iptables -A INPUT -s $ip -j DROP
fi
done
sleep 180
done