# создаем необходимые правила для блокировки и логирования пакетов на отслеживаемый порт

# новый чейн
iptables -N attacks
iptables -F attacks
# логирование
iptables -A attacks -j LOG --log-prefix "Attack: "

# блокировка. при отсутствии будет логирование
iptables -A FORWARD -p tcp -i eth1 --dport 22 -j attacks

#!/bin/sh

OLDSRC=1

# бесконечный цикл чтения файла
tail -f -n 0 /var/log/syslog | \
        ( while read LINE
        do
                SRC=`echo $LINE | grep 'Attack:' | egrep -o 'SRC=[^ ]+' | cut -c5-`
                DST=`echo $LINE | grep 'Attack:' | egrep -o 'DST=[^ ]+' | cut -c5-`
                # проверка на SRC адреса - чтобы исключить срабатывание на пакеты с "хороших" хостов
                case "x$SRC" in
                        x1.2.3.4) ;;
                        x) ;;
                        *)
                        # при сканах - тьма входящих пакетов. срабатывать надо 1 раз
                        if [ "x$SRC" != "x$OLDSRC" ]
                        then
                                # вывести на консоль данные
                                echo -n "$SRC $DST " ; date
                                # прописать блокирующее правило
                                /usr/sbin/iptables -I attacks -s $SRC -j DROP
                                # записать лог в файлик
                                echo -n "$S $D " >> LOG
                                /usr/bin/date >> LOG
                                OLDSRC=$SRC
                        fi
                        ;;
                esac
        done )