Fail2Ban - hoe te handelen met WHOIS info

[DeerDitch]

Hoi,

Ik heb op verschillende servers Fail2Ban draaien met diverse jails (e.g. POSTFIX, SSH). Nu stuurt Fail2Ban me een email met WHOIS info over een geblokkeert ip adres na 5 mislukte pogingen.

Mijn vraag is of jullie iets met deze WHOIS info doen? Is het normaal om deze info door te sturen naar de ISP die het geblokkeerde ip4v uitgeeft? Hoe zijn jullie ervaringen hiermee? Krijg je een vriendelijk mailtje terug, maar zie je 2 weken later hetzelfde ip adres weer terug?

Weet eigenlijk niet zo goed wat te doen. Als het niks uitmaakt, dan kan ik net zo goed die automatische mailing uitzetten...

Groeten,
Huib

[Equator]

Naar alle waarschijnlijkheid is de eigenaar van het IP niet eens bewust van deze pogingen, omdat of zijn IP gespoofed wordt, of het verloopt via malware op zijn computer.

Dus ik zou er niet zoveel mee doen eigenlijk.

Maar je kan (bij aanhoudende overlast) een abuse melding naar zijn ISP sturen. Of daar veel mee wordt gedaan is ISP afhankelijk, en of je dat doet vanuit persoonlijke naam, of vanuit een bedrijf.

Ik denk dat als Microsoft, Twitter of Facebook een melding verstuurt, dat er eerder wat mee wordt gedaan dan als Piet Klaasen uit Lutjebroek dat doet.