Автоматическая блокировка ботов: fail2ban и Redis-скоринг

Защита сайта от ботов: fail2ban и Redis-скоринг

Ситуация: ваш сайт атакуют боты — CPU загружен на 100%, сервер отвечает с задержками, легитимные пользователи не могут зайти. Мы разворачиваем систему блокировки подозрительных IP, которая отсекает 99% атак до того, как они нагружают приложение. С более чем 7 лет опыта в веб-безопасности, мы защитили свыше 50 проектов от ботов, сканеров и брутфорса. Наш опыт показывает: комбинированный подход (fail2ban + Redis-скоринг) снижает нагрузку на сервер на 60% и уменьшает количество вредоносных запросов в 10 раз. Экономия на серверных ресурсах достигает 40–60%, что существенно сокращает ежемесячные расходы на хостинг. Такой подход лучше изолированного fail2ban по адаптивности и точности блокировки. Получите консультацию по защите вашего сайта уже сегодня.

Какие проблемы решает блокировка подозрительных IP?

Типичные сценарии атак:

• Перебор паролей к админ-панели (брутфорс) — до 1000 запросов в минуту с одного IP.
• Сканирование уязвимостей (попытки доступа к .env, wp-admin, phpMyAdmin).
• Парсинг контента и размещение спама через формы обратной связи.

Без автоматической блокировки эти активности расходуют ресурсы сервера и могут привести к отказу в обслуживании. Наше решение останавливает их на раннем этапе.

Система скоринга на Redis

Каждое подозрительное действие начисляет IP-адресу баллы, которые хранятся в Redis с TTL. При достижении порога (например, 100 баллов) IP блокируется на 24 часа. Пороги и длительность блокировки настраиваются под ваш профиль риска. Типичные действия и их вес:

Почему комбинация fail2ban и Redis эффективнее?

Fail2ban работает на уровне ядра и блокирует IP ещё до того, как трафик достигает приложения — это снижает нагрузку на сервер в 5 раз по сравнению с прикладной блокировкой. Согласно документации fail2ban, iptables-правила обрабатываются за микросекунды. Redis-скоринг же учитывает сложное поведение: honeypot, сессии, кастомные правила. Комбинация даёт наилучший баланс производительности и адаптивности.

Как настроить fail2ban для вашего приложения?

Fail2ban анализирует логи веб-сервера (Nginx, Apache) и блокирует IP на уровне iptables. Пример конфигурации для Nginx:

# /etc/fail2ban/filter.d/nginx-scan.conf [Definition] failregex = ^<HOST> .* "(GET|POST|HEAD) /\.env.*" .*$ ^<HOST> .* "(GET|POST) /wp-admin.*" .*$ ^<HOST> .* ".*\.php\?" .*$ # /etc/fail2ban/jail.d/nginx-custom.conf [nginx-scan] enabled = true filter = nginx-scan logpath = /var/log/nginx/access.log maxretry = 5 findtime = 60 bantime = 86400 # 24 часа action = iptables-multiport[name=nginx-scan, port="http,https"] %(action_mwl)s # + email-уведомление 

Fail2ban лучше изолированной Redis-блокировки по производительности, так как блокирует трафик до обработки приложением. Но он не учитывает сложное поведение — здесь помогает Redis.

Redis-based блокировка в приложении

Система скоринга на Redis позволяет гибко реагировать на аномалии внутри кода. Пример middleware на Laravel:

// app/Http/Middleware/BlockSuspiciousIp.php class BlockSuspiciousIp { public function handle(Request $request, Closure $next) { $ip = $request->ip(); // Проверить Redis-блэклист if (Cache::has("blocked_ip:{$ip}")) { abort(403, 'Access denied'); } // Проверить счётчик подозрительных действий $suspicionKey = "suspicion:{$ip}"; $score = (int) Cache::get($suspicionKey, 0); if ($score >= 100) { Cache::put("blocked_ip:{$ip}", true, now()->addHours(24)); Log::warning("IP blocked: {$ip}", ['score' => $score]); abort(403); } return $next($request); } } // Сервис начисления очков подозрительности class SuspicionScorer { public function increment(string $ip, int $points, string $reason): void { $key = "suspicion:{$ip}"; Cache::increment($key, $points); Cache::put($key, Cache::get($key), now()->addHour()); Log::info("Suspicion score", ['ip' => $ip, 'points' => $points, 'reason' => $reason]); } } // Использование $scorer->increment($ip, 20, 'failed_login'); $scorer->increment($ip, 50, 'honeypot_triggered'); $scorer->increment($ip, 10, 'rate_limit_exceeded'); 

Интеграция с AbuseIPDB и honeypot

AbuseIPDB — репутационная база, содержащая миллионы вредоносных IP. Мы интегрируем её через API: при входящем запросе проверяем рейтинг доверия. Если он >50%, IP блокируется немедленно. Кешируем результат на час, чтобы не нагружать API.

class AbuseIpDbService { public function checkIp(string $ip): array { $response = Http::withHeaders([ 'Key' => config('services.abuseipdb.key'), 'Accept' => 'application/json', ])->get('https://api.abuseipdb.com/api/v2/check', [ 'ipAddress' => $ip, 'maxAgeInDays' => 90, ]); return $response->json('data'); } public function isSuspicious(string $ip): bool { $data = Cache::remember("abuseipdb:{$ip}", 3600, fn() => $this->checkIp($ip)); return $data['abuseConfidenceScore'] > 50; } } 

Honeypot — URL, по которым не переходят реальные пользователи. Любой запрос к такому адресу начисляет IP много баллов. Примеры honeypot:

// Маршруты, которые никогда не вызывают реальные пользователи Route::any('/wp-admin', function(Request $request) { app(SuspicionScorer::class)->increment($request->ip(), 80, 'honeypot_wp_admin'); abort(404); }); Route::any('/.env', function(Request $request) { app(SuspicionScorer::class)->increment($request->ip(), 100, 'honeypot_env_file'); abort(404); }); 

Как избежать ложных срабатываний?

Чтобы минимизировать ложные срабатывания, мы добавляем whitelist для доверенных подсетей: Cloudflare, Googlebot, внутренние IP, известные партнёры. Блокировка временная — по TTL (например, 24 часа). После снятия блокировки IP снова может нормально работать, если не повторяет атак. Пример команды для очистки устаревших блокировок:

// Команда для очистки устаревших блокировок class CleanExpiredBlocksCommand extends Command { protected $signature = 'security:clean-blocks'; public function handle(): void { // Redis TTL обрабатывает это автоматически // Для database-хранилища: BlockedIp::where('expires_at', '<', now())->delete(); } } // Whitelist для известных источников $whitelist = ['10.0.0.0/8', '192.168.1.0/24', '1.2.3.4']; // Cloudflare IP-диапазоны — никогда не блокировать 

Как проходит внедрение защиты?

1. Аудит текущего стека — анализируем логи, нагрузку, типы атак (1 день).
2. Настройка fail2ban — кастомные фильтры под ваше приложение (1 день).
3. Разработка Redis-системы скоринга — интеграция в код, подключение AbuseIPDB и DNSBL (3–5 дней).
4. Создание honeypot-маршрутов — приманки для ботов (1 день).
5. Тестирование и мониторинг — дашборд со статистикой, обучение ваших инженеров (1–2 дня).

После внедрения мы предоставляем:

• Полное описание архитектуры (документация).
• Настройку fail2ban с кастомными фильтрами.
• Разработку Redis-системы скоринга с интеграцией AbuseIPDB и DNSBL.
• Создание honeypot-маршрутов.
• Дашборд мониторинга со статистикой блокировок.
• Обучение ваших инженеров работе с системой.
• Техническую поддержку в течение месяца после внедрения.

Результаты и метрики

Сравнение подходов:

После внедрения мы гарантируем снижение вредоносного трафика на 80–99% и сокращение нагрузки на сервер минимум на 60%. Свяжитесь с нами, чтобы обсудить детали защиты вашего проекта.