提示：

根據web日誌或者網絡連接數，監控當某個ip並發數或者短時內PV達到100，即調命令封掉對應的ip，監控頻率每隔3分鐘。防火墻命令為：iptables -A INPUT -s 10.0.1.10 -J drop

解答：

web，也可以分析日誌，把單IP PV數高的封掉。按天定義PV=1000即封掉

#!/bin/bash
while true
do
  awk ‘{print $1}‘ access.log|grep -v "^$"|sort|uniq -c > /tmp/tmp.log
  exec </tmp/tmp.log
  while read line
  do
    ip=`echo $link|awk‘{print $2}‘`
    count=`echo $line|awk ‘{print $1}‘`
      if [ $count -gt 3 ] && [ `iptables -L -n|grep "$ip"|wc -l` -lt 1 ]
      then
        iptables -I INPUT -s $ip -j DROP
        echo "$line is dropped" >>/tmp/droplist.log
      fi
  done
  sleep 5
done

本文出自 “小菜鳥” 博客，請務必保留此出處http://baishuchao.blog.51cto.com/12918589/1943942

解決DOS攻擊生產案例