import re import subprocess import time log_file = '/var/log/suricata/fast.log' ip_set = set() while True: with open(log_file) as file: file.seek(0, 2) # 将文件指针移动到文件末尾 for line in file: match = re.search(r'\d+\.\d+\.\d+\.\d+', line) if not match: continue ip = match.group() if ip in ip_set: continue result = subprocess.call(['iptables', '-A', 'INPUT', '-s', ip, '-j', 'DROP']) if result == 0: print(f'封禁IP {ip} 成功!') ip_set.add(ip) else: print(f'封禁IP {ip} 失败!') time.sleep(5) 这段代码中并没有对级别 <=2 级的预警进行主动响应,封禁ip,优化修改一下
时间: 2023-12-11 18:05:56 浏览: 39
可以考虑在代码中添加一个阈值,对于频繁出现的 IP 地址进行封禁。以下是优化后的代码:
```python
import re
import subprocess
import time
log_file = '/var/log/suricata/fast.log'
ip_dict = {}
while True:
with open(log_file) as file:
file.seek(0, 2) # 将文件指针移动到文件末尾
for line in file:
match = re.search(r'\d+\.\d+\.\d+\.\d+', line)
if not match:
continue
ip = match.group()
if ip in ip_dict:
ip_dict[ip] += 1
else:
ip_dict[ip] = 1
for ip, count in ip_dict.items():
if count >= 10: # 设置阈值为 10
result = subprocess.call(['iptables', '-A', 'INPUT', '-s', ip, '-j', 'DROP'])
if result == 0:
print(f'封禁IP {ip} 成功!')
else:
print(f'封禁IP {ip} 失败!')
del ip_dict[ip]
time.sleep(5)
```
这段代码中,我们添加了一个字典 `ip_dict`,用于记录每个 IP 地址出现的次数。当某个 IP 地址出现的次数超过设定的阈值时,就对其进行封禁。同时,每次循环结束后需要清空 `ip_dict`,否则会有很多已经被封禁的 IP 地址一直占据字典中的位置,导致性能下降。