брут saslauthd (избавиться от плохих людей ))

[texnicii]

В логах начали появляться сообщени вида

Код: Выделить всё

May 30 07:35:39 past saslauthd[3435]: do_auth         : auth failure: [user=sales] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:42 past saslauthd[3435]: do_auth         : auth failure: [user=web] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:46 past saslauthd[3435]: do_auth         : auth failure: [user=adam] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:49 past saslauthd[3435]: do_auth         : auth failure: [user=stephen] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:53 past saslauthd[3435]: do_auth         : auth failure: [user=richard] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:56 past saslauthd[3435]: do_auth         : auth failure: [user=george] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:35:59 past saslauthd[3435]: do_auth         : auth failure: [user=michael] [service=pop] [realm=] [mech=shadow] [reason=Unknown]
May 30 07:36:03 past saslauthd[3435]: do_auth         : auth failure: [user=john] [service=pop] [realm=] [mech=shadow] [reason=Unknown]

не постоянно, в четение нескольких часов, потом перестают.
как я понимаю эта служба работает со многими приложениями, как определить источник?
проще всего обрезать в iptables pop протокол или есть способ получше?

[sash-kan]

смотрите лог того демона, который у вас слушает 110-й порт.
если логирование не включено — включите.
оттуда и узнаете ip-адреса ломальщиков.
а что уж с этим всем делать (отключать демона или не отключать) — этот вопрос вы сами себе задавайте.

[Ленивая Бестолочь]

используйте fail2ban.
если фигачат во много потоков - можно ddos deflector ещё.

[texnicii]

ок, разберусь, спасибо за ответы