În primul rând, aceasta nu este o intruziune directă - aceasta arată ca cea mai simplă scanare de porturi... Și cu excepția anumitor inundații pe porturi (postfix) și, probabil, un anunț despre aplicații sau mai degrabă porturile serverului dvs. care ascultă partea scanerelor), ați nu ai probleme cu asta.
Cu siguranță le puteți interzice, dar trebuie să știți ce faceți (de exemplu, pentru a evita falsele pozitive pentru unii utilizatori legitimi ai dvs., de exemplu dacă o conexiune lentă a cuiva ar provoca aceleași mesaje)...
Pentru a interzice exact această inundație numai pe partea postfix, puteți adăuga această închisoare:
[postfix-scanare]
filtru =
failregex = ^\s*\S+ postfix/smtpd\[[^\]]+\]: conexiune pierdută după (?:STARTTLS|NECUNOSCUT) de la [^\[]*\[<ADDR>\]
port = smtp,465,submission
... (logpath, backend, maxretry, findtime etc) ...
activat = adevărat
(Așa cum am spus deja, teoretic ați putea interzice un utilizator legitim cu asta, așa că poate ar trebui să creșteți maxretry si scade găsește timp pentru această închisoare)
Pentru a interzice cardinal scanarea portului, ați putea adăuga câteva reguli de filtru de rețea, de exemplu, înregistrarea (și probabil eliminarea) conexiunilor care trimit pachete SYN către multe porturi (cu unele explozii) sau chiar pe unele pachete către unele porturi închise.
Și apoi puteți chiar să le interziceți folosind ceva de genul - https://github.com/fail2ban/fail2ban/issues/1945
