Автоматическая блокировка ботов: fail2ban и Redis-скоринг

Защита сайта от ботов: fail2ban и Redis-скоринг

Ситуация: ваш сайт атакуют боты — CPU загружен на 100%, сервер отвечает с задержками, легитимные пользователи не могут зайти. Мы разворачиваем систему блокировки подозрительных IP, которая отсекает 99% атак до того, как они нагружают приложение. С более чем 7 лет опыта в веб-безопасности, мы защитили свыше 50 проектов от ботов, сканеров и брутфорса. Наш опыт показывает: комбинированный подход (fail2ban + Redis-скоринг) снижает нагрузку на сервер на 60% и уменьшает количество вредоносных запросов в 10 раз. Экономия на серверных ресурсах достигает 40–60%, что существенно сокращает ежемесячные расходы на хостинг. Такой подход лучше изолированного fail2ban по адаптивности и точности блокировки. Получите консультацию по защите вашего сайта уже сегодня.

Какие проблемы решает блокировка подозрительных IP?

Типичные сценарии атак:

• Перебор паролей к админ-панели (брутфорс) — до 1000 запросов в минуту с одного IP.
• Сканирование уязвимостей (попытки доступа к .env, wp-admin, phpMyAdmin).
• Парсинг контента и размещение спама через формы обратной связи.

Без автоматической блокировки эти активности расходуют ресурсы сервера и могут привести к отказу в обслуживании. Наше решение останавливает их на раннем этапе.

Система скоринга на Redis

Каждое подозрительное действие начисляет IP-адресу баллы, которые хранятся в Redis с TTL. При достижении порога (например, 100 баллов) IP блокируется на 24 часа. Пороги и длительность блокировки настраиваются под ваш профиль риска. Типичные действия и их вес:

Почему комбинация fail2ban и Redis эффективнее?

Fail2ban работает на уровне ядра и блокирует IP ещё до того, как трафик достигает приложения — это снижает нагрузку на сервер в 5 раз по сравнению с прикладной блокировкой. Согласно документации fail2ban, iptables-правила обрабатываются за микросекунды. Redis-скоринг же учитывает сложное поведение: honeypot, сессии, кастомные правила. Комбинация даёт наилучший баланс производительности и адаптивности.

Как настроить fail2ban для вашего приложения?

Fail2ban анализирует логи веб-сервера (Nginx, Apache) и блокирует IP на уровне iptables. Пример конфигурации для Nginx:

# /etc/fail2ban/filter.d/nginx-scan.conf
[Definition]
failregex = ^<HOST> .* "(GET|POST|HEAD) /\.env.*" .*$
            ^<HOST> .* "(GET|POST) /wp-admin.*" .*$
            ^<HOST> .* ".*\.php\?" .*$

# /etc/fail2ban/jail.d/nginx-custom.conf
[nginx-scan]
enabled = true
filter = nginx-scan
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 60
bantime = 86400  # 24 часа
action = iptables-multiport[name=nginx-scan, port="http,https"] %(action_mwl)s  # + email-уведомление

Fail2ban лучше изолированной Redis-блокировки по производительности, так как блокирует трафик до обработки приложением. Но он не учитывает сложное поведение — здесь помогает Redis.

Redis-based блокировка в приложении

Система скоринга на Redis позволяет гибко реагировать на аномалии внутри кода. Пример middleware на Laravel:

// app/Http/Middleware/BlockSuspiciousIp.php
class BlockSuspiciousIp {
    public function handle(Request $request, Closure $next) {
        $ip = $request->ip();
        // Проверить Redis-блэклист
        if (Cache::has("blocked_ip:{$ip}")) {
            abort(403, 'Access denied');
        }
        // Проверить счётчик подозрительных действий
        $suspicionKey = "suspicion:{$ip}";
        $score = (int) Cache::get($suspicionKey, 0);
        if ($score >= 100) {
            Cache::put("blocked_ip:{$ip}", true, now()->addHours(24));
            Log::warning("IP blocked: {$ip}", ['score' => $score]);
            abort(403);
        }
        return $next($request);
    }
}

// Сервис начисления очков подозрительности
class SuspicionScorer {
    public function increment(string $ip, int $points, string $reason): void {
        $key = "suspicion:{$ip}";
        Cache::increment($key, $points);
        Cache::put($key, Cache::get($key), now()->addHour());
        Log::info("Suspicion score", ['ip' => $ip, 'points' => $points, 'reason' => $reason]);
    }
}

// Использование
$scorer->increment($ip, 20, 'failed_login');
$scorer->increment($ip, 50, 'honeypot_triggered');
$scorer->increment($ip, 10, 'rate_limit_exceeded');

Интеграция с AbuseIPDB и honeypot

AbuseIPDB — репутационная база, содержащая миллионы вредоносных IP. Мы интегрируем её через API: при входящем запросе проверяем рейтинг доверия. Если он >50%, IP блокируется немедленно. Кешируем результат на час, чтобы не нагружать API.

class AbuseIpDbService {
    public function checkIp(string $ip): array
    {
        $response = Http::withHeaders([
            'Key' => config('services.abuseipdb.key'),
            'Accept' => 'application/json',
        ])->get('https://api.abuseipdb.com/api/v2/check', [
            'ipAddress' => $ip,
            'maxAgeInDays' => 90,
        ]);

        return $response->json('data');
    }

    public function isSuspicious(string $ip): bool
    {
        $data = Cache::remember("abuseipdb:{$ip}", 3600, fn() => $this->checkIp($ip));

        return $data['abuseConfidenceScore'] > 50;
    }
}

Honeypot — URL, по которым не переходят реальные пользователи. Любой запрос к такому адресу начисляет IP много баллов. Примеры honeypot:

// Маршруты, которые никогда не вызывают реальные пользователи
Route::any('/wp-admin', function(Request $request) {
    app(SuspicionScorer::class)->increment($request->ip(), 80, 'honeypot_wp_admin');
    abort(404);
});

Route::any('/.env', function(Request $request) {
    app(SuspicionScorer::class)->increment($request->ip(), 100, 'honeypot_env_file');
    abort(404);
});

Как избежать ложных срабатываний?

Чтобы минимизировать ложные срабатывания, мы добавляем whitelist для доверенных подсетей: Cloudflare, Googlebot, внутренние IP, известные партнёры. Блокировка временная — по TTL (например, 24 часа). После снятия блокировки IP снова может нормально работать, если не повторяет атак. Пример команды для очистки устаревших блокировок:

// Команда для очистки устаревших блокировок
class CleanExpiredBlocksCommand extends Command
{
    protected $signature = 'security:clean-blocks';

    public function handle(): void
    {
        // Redis TTL обрабатывает это автоматически
        // Для database-хранилища:
        BlockedIp::where('expires_at', '<', now())->delete();
    }
}

// Whitelist для известных источников
$whitelist = ['10.0.0.0/8', '192.168.1.0/24', '1.2.3.4'];

// Cloudflare IP-диапазоны — никогда не блокировать

Как проходит внедрение защиты?

1. Аудит текущего стека — анализируем логи, нагрузку, типы атак (1 день).
2. Настройка fail2ban — кастомные фильтры под ваше приложение (1 день).
3. Разработка Redis-системы скоринга — интеграция в код, подключение AbuseIPDB и DNSBL (3–5 дней).
4. Создание honeypot-маршрутов — приманки для ботов (1 день).
5. Тестирование и мониторинг — дашборд со статистикой, обучение ваших инженеров (1–2 дня).

После внедрения мы предоставляем:

• Полное описание архитектуры (документация).
• Настройку fail2ban с кастомными фильтрами.
• Разработку Redis-системы скоринга с интеграцией AbuseIPDB и DNSBL.
• Создание honeypot-маршрутов.
• Дашборд мониторинга со статистикой блокировок.
• Обучение ваших инженеров работе с системой.
• Техническую поддержку в течение месяца после внедрения.

Результаты и метрики

Сравнение подходов:

После внедрения мы гарантируем снижение вредоносного трафика на 80–99% и сокращение нагрузки на сервер минимум на 60%. Свяжитесь с нами, чтобы обсудить детали защиты вашего проекта.