SMTP認証(SASL)への不正アクセス対策

最近postfix+saslで構築したメールサーバ(smtp認証)への不正アクセスが増加しています。
ログを見ているとこれはこれで面白いですが(^^

あまりにしつこいのでfail2banで対策を行いました。

Install the Fail2ban on CentOS 5
https://www.rootlinks.net/2013/08/14/install-the-fail2ban-on-centos-5/

1. /etc/fail2ban/jail.conに追記
Shell

[postfix-sasl] enabled = true filter = postfix-sasl action = iptables[name=postfix-sasl, port=smtp, protocol=tcp] sendmail-whois[name=postfix-sasl, dest=admin, sender=fail2ban] logpath = /var/log/maillog maxretry = 3 bantime = 86400

1 2 3 4 5 6 7 8

[postfix-sasl] enabled = true filter = postfix-sasl action = iptables[name=postfix-sasl, port=smtp, protocol=tcp]          sendmail-whois[name=postfix-sasl, dest=admin, sender=fail2ban] logpath = /var/log/maillog maxretry = 3 bantime  = 86400

2. /etc/fail2ban/filter.d/postfix-sasl.confの編集

最初から作成する予定がすでに雛形がありました。
ただこのままだと起動時にエラーが表示されたので修正しています。

Shell

WARNING 'ignoreregex' not defined in 'Definition'. Using default one: ''

1	WARNING 'ignoreregex' not defined in 'Definition'. Using default one: ''

“ignoreregex =”を追記しています。

Shell

# Fail2Ban filter for postfix authentication failures # [INCLUDES] before = common.conf [Definition] _daemon = postfix/smtpd failregex = ^%(__prefix_line)swarning: [-._\w]+\[<HOST>\]: SASL (?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5) authentication failed(: [ A-Za-z0-9+/]*={0,2})?\s*$ ignoreregex = # Author: Yaroslav Halchenko

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

# Fail2Ban filter for postfix authentication failures #   [INCLUDES]   before = common.conf   [Definition]   _daemon = postfix/smtpd   failregex = ^%(__prefix_line)swarning: [-._\w]+\[<HOST>\]: SASL (?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5) authentication failed(: [ A-Za-z0-9+/]*={0,2})?\s*$   ignoreregex = # Author: Yaroslav Halchenko

3. fail2banの再起動
Shell

[root@host01 ~]# /etc/init.d/fail2ban restart

1	[root@host01 ~]# /etc/init.d/fail2ban restart

動作確認の手助けをしてくれたのか早々に捉えてメールが届きました。
sendmail-whoisはブロックしたIPをwhoisで調べてメール送信します。