Salut,
Je rattrape ici la conversation, avec mes "deux" soucis, à savoir :
J'ai vérifié les droits, ils semblent être correct. Je t'ai vu me demander si j'avais rutorrent sur le même serveur ? C'est effectivement le cas Hard, un conflit ?
Le coup des sender_restrictions ?
Merci
edit : point 2 réglé il semblerait, en suivant ceci :
http://mondedie.fr/d/5822/104
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
edit 1 :
Sinon :
Partant du principe, qu'on utilise rutorrent, et qu'on le protège par un fichier .htaccess, j'aimerai définir des règles en conséquence. Je me suis donc dit que :
1°) J'édite le fichier ossec.conf :
nano /var/ossec/etc/ossec.conf
J'y ajoute à la fin le log à monitorer :
<localfile>
<log_format>apache</log_format>
<location>/var/log/nginx/rutorrent-error.log</location>
</localfile>
Ici, j'ai une première question, est-ce correct d'y mettre
apache en
log_format ? Je me suis dit qu'ainsi, on tombait sous la règle :
nginx_rules.xml qui dépend à priori du group name : "apache".
2°) Je modifie les options d'
nginx_rules.xml : un brin plus agressif :
<rule id="31316" level="10" frequency="2" timeframe="10">
<if_matched_sid>31315</if_matched_sid>
<same_source_ip />
<description>Multiple web authentication failures.</description>
<group>authentication_failures,</group>
</rule>
Ici, on est donc dans le cas suivant :
Si le système détecte plus de 2 tentatives dans un laps de 10 secondes, alors : BAN !!!
Z'en pensez quoi les Doc's ?
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
edit2:
D'ailleurs, pour bannir définitivement une IP trop insistante, je passe toujours (parce que je le faisais sous fail2ban) par :
iptables -I INPUT -s IP -j DROP
Ou il faut agir différemment avec Prelude/Ossec ?
Sinon, je vois que tu mentionnes Dshield ? Tu pourrais m'en dire plus ?
Autre petit truc pénible, je reçois des mails sur des alertes de niveau 2 malgré que le paramètre email_alert soit placé à 7. Un autre paramètre serait à modifier ?
