Fail2ban: Penambahan pola tanggal dalam file filter

bagaimana cara mengurai pola tanggal

Pola Anda misalnya '^[%d-%b-%Y_%H:%M:%S,%f]'.

Catatan, di file konfigurasi, Anda harus menentukannya dengan karakter persen ganda, seperti:

datepattern = ^\[%%d-%%b-%%Y_%%H:%%M:%%S,%%f\]

PoC:

$ fail2ban-regex -v -d '^\[%d-%b-%Y_%H:%M:%S,%f\]' "$str" 'from ip : <HOST>'

Running tests
=============

Use      datepattern : ^\[Day-MON-Year_24hour:Minute:Second,Microseconds\]
Use   failregex line : from ip : <HOST>
Use      single line : [06-Jun-2018_17:07:42,500] [INFO] [mithi.mcs.auth....


Results
=======

Failregex: 1 total
|-  #) [# of hits] regular expression
|   1) [1] from ip : <HOST>
|      192.168.0.124  Wed Jun 06 17:07:42 2018
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] ^\[Day-MON-Year_24hour:Minute:Second,Microseconds\]
`-

Lines: 1 lines, 0 ignored, 1 matched, 0 missed
[processed in 0.00 sec]

Perhatikan juga bahwa fail2ban memotong datepattern pencocokan tanggal-waktu dari string sebelum mencari kecocokan untuk failregex.

pertanyaan bonus

Jawaban bonus - baca manual, misalnya mulai dengan Sintaks Ekspresi Reguler :: Dokumentasi Python .
Misalnya port yang Anda login: smtp,pop3,imap mungkin seperti
for service : (?:SMTP|POP3|IMAP|null) from ip ,
atau seperti bukan-spasi \S+ regex:
for service : \S+ from ip ...

Itu bekerja dengan baik, terima kasih Pak
Pertanyaan lain, saya memiliki pola regex abaikan ke log di atas yang lolos dari Return Code : 114.
ignoreregex = .*(?:Return Code : 114.).*
Perintah abaikanregex di atas berfungsi dengan baik untuk keluar dari Kode Pengembalian : 114.
Jadi pertanyaannya adalah , bagaimana saya menyebutkan abaikanregex di atas dalam failregex itu sendiri untuk menangkap semua Kode tetapi tidak 114 sehingga untuk menghindari perhitungan abaikanregex ?
Failregex yang berfungsi untuk semua Kode adalah - (berfungsi)
failregex = (?:for service :).* (?:smtp|POP|IMAP|null).*(?:from ip : <HOST>).*(?: finished with status : Failure.).*(?:Return Code : ).*
Failregex yang akan mendapatkan semua Kode tetapi tidak 114 adalah - (tidak berfungsi)
Sejauh ini saya sudah mencoba,

> failregex = (?:for service :).* (?:smtp|POP|IMAP|null).*(?:from ip : <HOST>).*(?: finished with status : Failure.).*(?!.*Return Code : 114.).*

Sesuatu seperti .*(?!.*Return Code : 114.).* tidak akan pernah berfungsi (apalagi rentan), karena catch all .* akan selalu menemukan sesuatu, misalnya dengan something. Return Code : 114. ia dapat menangkap something. R dan sisanya eturn Code : 114. tidak cocok dengan pandangan negatif Anda.

Jadi, Anda sebaiknya menggunakan pola yang lebih tepat:

>>> import re
>>> cr = re.compile(r"\S+\. Return Code : (?!114)\d+\.")
>>> print(bool(cr.match("something. Return Code : 108.")))
True
>>> print(bool(cr.match("something. Return Code : 114.")))
False

Dan last but not least, jangan gunakan catch-alls dan coba jangkar regex (setidaknya dari satu sisi, misalnya dari awal ^... atau dari keduanya ^...$ , perhatikan .*$ atau ^.* bukan jangkar dan tidak masuk akal).
Jadi lebih tepat dalam regex, terutama jika beberapa input asing (pengguna) dapat terjadi di log-line. Jika tidak, Anda membuatnya rentan bagi penyusup (misalnya dengan memanipulasi saluran, ia dapat menghindari deteksi atau bahkan dapat memaksa untuk melarang IP lain alih-alih IP aslinya.

Bagaimana cara menerapkannya di gagal regex? Saya telah menyediakan regex yang berfungsi untuk semua nomor di komentar saya sebelumnya, saya ingin menerapkan satu yang mengabaikan 114 di failregex itu sendiri. Terima kasih atas waktu dan bantuannya :)

Maaf, tidak ada waktu ATM untuk membuat regex Anda sepenuhnya benar. Dan saya tidak membuat solusi cepat dan kotor pada prinsipnya.
Coba situs serupa stackoverflow.

Inilah kamu:

^\s*\[\S+\]\s+\[[^\]]+\]\s+-\s+<Authentication for user : \S+[^:]* for service : \S+ from ip : <HOST> finished with status :  Failure\.\s+(?:[^.]+\.)* Return Code : (?!114)\d+\.

Tapi, filter yang mungkin sedikit lebih tepat akan terlihat seperti:

[Definition]

# services (smtp,imap,etc,...):
_services = (?:\S+)

# all errors (not-precise):
#_errors = (?:[^.]+\.)*
# only expected errors (more precise), example:
#_errors = (?:unknown status|authenication error|something else)\.
_errors = (?:unknown status)\.

# return-codes (any excepting 114):
_ret_codes = (?!114)\d+

failregex = ^\s*\[\S+\]\s+\[[^\]]+\]\s+-\s+<Authentication for user : \S+[^:]* for service : %(_services)s from ip : <HOST> finished with status :  Failure\.\s+%(_errors)s Return Code : %(_ret_codes)s\.

[Init]

datepattern = ^\[%%d-%%b-%%Y_%%H:%%M:%%S,%%f\]

Anda memiliki 3 variabel interpolasi tambahan (dimulai dengan garis bawah) untuk mengontrol apa yang seharusnya dilarang.
Anda juga dapat menggunakan substitusi _errors pertama (dikomentari) untuk semua kemungkinan kesalahan, tetapi seperti yang dikatakan komentar - itu tidak tepat ... dan saya tidak suka pelonggaran seperti itu tanpa mencari format semua kemungkinan format pesan log di sana.
Tetapi saya yakin Anda dapat memperluas daftar ini sendiri seperti pada contoh di atas.

Failregex sekarang dapat melakukan pekerjaan mengabaikanregex di dalam dirinya sendiri !!
Saya mengerti bahwa fungsi abaikanregex disediakan untuk memperjelas hal-hal dengan fungsi yang tersedia.
Contoh di atas memperjelas betapa fleksibelnya filter pada skenario yang berbeda.
Terima kasih atas waktu dan bantuan Anda.
Selamat siang, Pak :)