Thứ nhất, đây không phải là một sự xâm nhập trực tiếp - đây có vẻ như là quá trình quét cổng đơn giản nhất... Và ngoại trừ một số cổng nhất định trên (postfix) và có thể là một thông báo về các ứng dụng hay đúng hơn là các cổng mà máy chủ của bạn đang nghe phía máy quét), bạn sẽ không có rắc rối với điều đó.
Bạn chắc chắn có thể cấm họ, nhưng bạn phải biết mình làm gì (ví dụ: để tránh thông báo sai cho một số người dùng hợp pháp của bạn, chẳng hạn nếu kết nối chậm của ai đó sẽ gây ra các thông báo tương tự)...
Để cấm chính xác lũ này chỉ ở phía hậu tố, bạn có thể thêm nhà tù này:
[postfix-quét]
bộ lọc =
failregex = ^\s*\S+ postfix/smtpd\[[^\]]+\]: mất kết nối sau (?:STARTTLS|UNKNOWN) từ [^\[]*\[<ADDR>\]
cổng = smtp,465, gửi
... (logpath, backend, maxretry, findtime, v.v.) ...
đã bật = đúng
(như đã nói, về mặt lý thuyết, bạn có thể cấm một số người dùng hợp pháp với điều đó, vì vậy có lẽ bạn nên tăng thử nghiệm tối đa và giảm thời gian tìm kiếm cho nhà tù này)
Để cấm quét cổng về cơ bản, bạn có thể thêm một số quy tắc bộ lọc mạng, chẳng hạn như ghi nhật ký (và có thể hủy) các kết nối gửi các gói SYN tới nhiều cổng (với một số cụm) hoặc thậm chí trên một số gói tới một số cổng đã đóng.
Và sau đó, bạn thậm chí có thể cấm họ bổ sung bằng cách sử dụng thứ gì đó như - https://github.com/fail2ban/fail2ban/issues/1945
