SMTP Authを何度も試みててくるIPアドレスをブロックする【postfix】

2019-10-072021-07-07

Contents

1. postfixで何度もSMTP Auth をしてくるSPAMメールの業者のIPアドレスをブロックする

postfixで何度もSMTP Auth をしてくるSPAMメールの業者のIPアドレスをブロックする

メールサーバーを運用していると、海外からのSPAM業者がSTMPサーバーにアクセスしてきます。いちようメールサーバーはSMTP認証をしているので、メールログには以下のような「authentication failed」ログで溢れていきます

$ sudo  grep "authentication failed" /var/log/maillog | head -3
Oct  7 03:36:21 mail01 postfix/smtpd[30764]: warning: unknown[x.x.x.x]: SASL LOGIN authentication failed: pass1234
Oct  7 03:38:35 mail01 postfix/smtpd[30764]: warning: unknown[x.x.x.x]: SASL LOGIN authentication failed: password
Oct  7 03:39:57 mail01 postfix/smtpd[30764]: warning: unknown[x.x.x.x]: SASL PLAIN authentication failed: qwer1234

数回程度のSMTP認証で失敗になら使用しているユーザーも考えられますが、複数回失敗しているなら間違いなく迷惑メールを送信している業者が高いので、この「authentication failed」でSMTP認証を失敗しているIPアドレスを拾って、そのIPアドレスをiptableや、特定のIPアドレスからアクセスを拒否る設定ができる「smtpd_client_restrictions =check_client_access：hash:【ファイ名】」等で設定してアクセスを拒否します

maillogから、「authentication failed」のあるIPアドレスを抽出します。

$ sudo cat /var/log/maillog | grep 'authentication failed' | awk '{print $7}' 
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:
unknown[x.x.x.x]:

余計な文字列があるので抽出したIPアドレスを含む文字列を別ファイルに出力してからsedコマンドで整形さるシェルスクリプトを作ります

#!/bin/bash

cat /var/log/maillog | grep 'authentication failed' | awk '{print $7}' > /var/tmp/mail_authfail.log
sed -i -e "s/\[/ /g" /var/tmp/mail_authfail.log
sed -i -e 's/\]\://g' /var/tmp/mail_authfail.log
# authentication failedのログが多いIPアドレスのTOP10をファイルに出力します
cat /var/tmp/mail_authfail.log | awk '{print $2}' | sort | uniq -c | sort -nr | head -10 > /var/tmp/fail_top10.txt

# authentication failedのログが多いIPアドレス
$ cat /var/tmp/fail_top10.txt
    1810 x.x.x.x
    1196 x.x.x.x
    1189 x.x.x.x
    1114 x.x.x.x
     998 x.x.x.x
     992 x.x.x.x
     858 x.x.x.x
     842 x.x.x.x
     780 x.x.x.x
     720 x.x.x.x

「/var/tmp/fail_top10.txt」に「authentication failed」のログが多いIPアドレスが抽出できますので、そのファイルを読み込んでiptables等のIPアドレスを拒否するようなシェルスクリプトを作ります

#!/bin/bash

DATA=`date "+%Y%m%d"`
LOGDIR=/var/tmp/mail_authfail
REJECTCL_FILE=/etc/postfix/reject_client

if [ ! -d ${LOGDIR} ] ; then
  mkdir ${LOGDIR}
fi

# authentication failed のIPアドレスを記録（出力ファイル：fail_top10.txt ）
cat /var/log/mail/maillog | grep 'authentication failed' | awk '{print $7}' > ${LOGDIR}/mail_authfail_${DATA}.log
sed -i -e "s/\[/ /g" ${LOGDIR}/mail_authfail_${DATA}.log
sed -i -e 's/\]\://g' ${LOGDIR}/mail_authfail_${DATA}.log
# IPアドレスのランキングTOP10
cat ${LOGDIR}/mail_authfail_${DATA}.log | awk '{print $2}' | sort | uniq -c | sort -nr | head -10 > ${LOGDIR}/fail_top10.txt

while read LINE
do
  FAILCNT=`echo $LINE | awk '{print $1}'`
  FAILIP=`echo $LINE | awk '{print $2}'`
  CNT=`grep ${FAILIP} ${REJECTCL_FILE} | wc -l`
  if [ "$CNT" -eq 0  ] ; then
# reject_clientに追加（Fail回数50以上なら、reject_clientに記載する）
    if [ ${FAILCNT} -gt 50 ] ; then
      echo "${FAILIP}   REJECT" >> ${REJECTCL_FILE}
    fi
  fi
# IPTABLES に追加（Fail回数800以上ならiptablesに追加する）
  if [ ${FAILCNT} -gt 800 ] ; then
    /sbin/iptables -I INPUT -s ${FAILIP} -j DROP
    /etc/init.d/iptables save
  fi
done < ${LOGDIR}/fail_top10.txt

/usr/sbin/postmap ${REJECTCL_FILE}
/etc/init.d/postfix reload


# reject_clientが100行以上の場合は、10行削除
rccnt=`wc -l /etc/postfix/reject_client | awk '{print $1}'`
if [ $rccnt -gt 100 ] ; then
  sed -i -e '1,10d' ${REJECTCL_FILE}
fi

/bin/find ${LOGDIR} -mtime +90 -name "*.log" | xargs rm -f