защита Bind9 от DNS Amplification Attack fail2ban

Всем привет.

Недавно в логах было кучу сообщении о запросах, решением было fail2ban со своим регулярным выражением. 

client 183.2.242.74#62840: query: cpsc.gov IN ANY +E
client 183.2.242.74#62840: query: cpsc.gov IN ANY +E
client 183.2.242.74#62840: query: cpsc.gov IN ANY +E



Решение:

1) создаем новый файл правила в /etc/fail2ban/filter.d/named.conf
с содержанием

[Definition]

failregex = .*client <HOST>#\d+:

2) в /etc/fail2ban jail.conf добавляем.

[named]

enabled = true

ignoreip = 127.0.0.1; 172.27.22.0/24

filter = named

action = iptables-multiport[name=named, port="53", protocol=udp]

logpath = /var/named/syslog

bantime = 86400

findtime = 1

maxretry = 3

Результат:

REJECT     all  --  76.103.55.82         

REJECT     all  --  172.58.41.7       

REJECT     all  --  50.118.60.2       

REJECT     all  --  37.187.174.174