[HOW2] mod_evasive konfigurieren

Hi,
oft ist es einfach einen kleinen Webserver außer Betrieb zu setzen. Ein aufwendiges Script, oft genug aufgerufen lässt den Server in die Knie gehen. Der Denial of Service (DoS) ist geschafft. Unter anderem um dem Vorzubeugen, gibt es für den Apache Webserver mod_evasive. Die Konfiguration ist einfach aber effizient.
Mod Evasive führt eine HOstTabelle, und sobald eine gewisse Anfrageschwelle pro Host überschritten wird, bekommt dieser ein 403 access denied. Zusätzlich kann der Admin per Mail benachrichtigt werden und ein Shell  Befehl ausgeführt werden.
Unter Debian lenny installiert man das Modul mit :

apt-get install libapache2-mod-evasive

Danach gehts an die Konfiguration.
Erst das Modul aktivieren.

a2enmod mod-evasive

Dann die Apache2 Konfiguration anpassen. Unter Debian in der /etc/apache2/apache2.conf folgende Zeile anhängen:

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097 # Größe der HostHashTabelle, Je größer desto schneller, je kleiner desto weniger Ram Verbrauch
    DOSPageCount        10 # Request pro Intervall auf eine Seite von einem Host
    DOSSiteCount        50 # Requests pro Intervall auf einer Domain von einem Host
    DOSPageInterval     1 # o.g. Intervall für die Requests pro Seite in s
    DOSSiteInterval     1 # o.g. Intervall pro Domain
    DOSBlockingPeriod   10 # Dauer der Blokade in s
    DOSWhitelist 127.0.0.1 # Whitelist
    DOSEmailNotify "adminEmailAddresse" # BenachrichtigungsEmailaddresse 
    DOSSystemCommand    "sudo /sbin/iptables -A INPUT -s %s -j DROP" # Befehl der bei erkanntem DOS versuch ausgeführt werden soll
</IfModule>

Die Kommentare (alles ab dem # in einer Zeile), dienen zur erläuterung hier. Sie müssen in der Apacheconfig entfernt werden!
Der Befehl unter DOSSystemCommand sorgt dafür, dass alle Pakete von der AngreiferIP gedropt werden. Somit wird dem Angreifer suggeriert, der Server sei nicht mehr erreichbar(Timeout).
Edit:
Sollen automatische Firewallregeln angelegt werden (via DOSSystemCommand wie hier) ist das Paket 'sudo'(kann bei anderen Distributionen als Debian anders heißen) nötig.
Damit www-data diese Firewallregel einrichten darf, muss sudo installiert sein und in der /etc/sudoers folgende Zeile hinzu gefügt werden.

www-data ALL=(ALL) NOPASSWD: /sbin/iptables -A INPUT -s [0-9.]* -j DROP

Ein Neustart des alten Indianers aktiviert den ganze Spass.

ACHTUNG::: SPERRT EUCH NICHT SELBST AUS BEIM TESTEN. SOLLTET IHR VON EUREM "HOMEPC" EINEN TEST DER CONFIG DURCHFÜHREN, DENKT DARAN, DASS ALLE PAKETE VON EUREM PC DANN GEDROPT WERDEN, AUCH SSH PAKETE:::

Gruß
SP4C3

[Cerberus]

poste mal den Block, den du rein gesetzt hast ...
scheint wohl ein Fehler drin zu sein

[SP4C3]

Hab gerade versucht den Fehler nach zu vollziehen und dabei bemerkt, die Kommentare sind zu entfernen, dann gehts.

Also alles ab dem # muss entfernt werden, dann funzts wies soll...

[phenom]

Also ich bekomm immer die meldung,das das paket nicht gefunden wurde

Couldn't find package libapache2-mod-evasive

Habe ein Debian Lenny 5 auf 64Bit

[D@rk-€vil™]

phenom dann schau ma hiervorbei

Klick mich

[SP4C3]

Wollt gerade schon rebbellieren
In den Standart Debian Repos ists drin.

Kann sein, dass dein Provider andere Repos einträgt, die es nicht enthalten.

[phenom]

Habs mittlerweile Installed.Aber mal ne andere Frage.Wo bekomm ich das hier her?Also soweit ich weis,gibts das glaub ich garnich für Lenny.

apt-get install libapache2-mod-security

Habs für Debian Etch gefunden,aber wiederum sagt mit Putty,das das Paket nich gefunden wurde.

Kennt jemand ne Quelle,wo mans für Lenny amd64Bit herbekommt?

[D@rk-€vil™]

schaust du hier

[rodi]

Ohne die # und die nachfolgenden Kommentare funktioniert es nun auch.

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097
    DOSPageCount        10
    DOSSiteCount        50
    DOSPageInterval     1
    DOSSiteInterval     1
    DOSBlockingPeriod   10
    DOSWhitelist        127.0.0.1
    DOSEmailNotify      "adminEmailAddresse"
    DOSSystemCommand    "sudo /sbin/iptables -A INPUT -s %s -j DROP"
</IfModule>

[SeeYou]

alles kann schön aber das habe ich nicht..was muss ich da nach installieren?

/etc/sudoers

[SP4C3]

das Paket sudo

unter Debian also

apt-get install sudo

Wer den Startpost editieren und das dazuschreiben.