NSクエリ

異常なNSクエリをブロックするとりあえずのスクリプト。30分毎に動かす程度でも、ないよりはまし。

#!/bin/sh
LOG=/var/named/var/log/queries.log
IPs="`/usr/bin/tail $LOG| /usr/bin/sed -n 's/^.* client \([^#]*\)#.*NS.*$/\1/p' | /usr/bin/sort`"
g=""
for f in $IPs
do
        if [ "$g" = "$f" ]; then
               /usr/bin/logger "$f is Blocked as NS attacker"
               /sbin/ipfw add XXXX deny ip from $f to any dst-port 53
        fi
        g="$f"
done