Regex für fail2ban zum Filtern von Mail von einer bestimmten Top-Level-Domain

Question

Hintergrund: Ich habe einen Plesk CentOS 6.7 Server mit 30+ Domains. Ich erhalte sehr viel Spam von einer bestimmten TLD (in diesem Fall .top). Ich benutze SpamAssassin und verwende die RBL-Liste (xbl.spamhaus.org). SpamAssassin weist die meisten dieser Nachrichten als Spam aus, aber es wird durchgesetzt, dass mein Server von den Mail-Servern von Google eingeschränkt wird (da einige der E-Mail-Konten meines Benutzers an Google Mail weitergeleitet werden). Ich bekomme ZERO legal E-Mail von dieser Domain, und die Speicherauslastung ist in letzter Zeit um ein paar Prozent gestiegen, also versuche ich einige Overheads zu sparen und meine Server-Reputation zu verbessern, indem ich diese Nachrichten blockiere, bevor sie überhaupt Postfix erreichen.

Ich möchte einen Filter für fail2ban schreiben, die Verbindungen von dieser TLD entsprechen würde, und verbieten die entsprechenden IP-Adressen.

Hier sind beispielsweise Log-Einträge:

Mar 20 03:12:43 mydomain postfix/smtpd[6557]: connect from whatevermonkey.top[66.199.245.168] 
Mar 20 05:07:38 mydomain postfix/smtpd[13299]: connect from someonecat.top[216.169.126.67] 

So kann jedermann mit einem REGEX helfen, dass ich stecken könnte, dass fail2ban würde alles passen ‚aus verbinden‘, die die ‚.top‘ -Domäne enthalten?

Ich habe versucht, dies auf der Grundlage meiner Arbeit Postfix-Sasl-Filter (unten) zu arbeiten, aber meine Regex Chi ist nicht stark genug ... Hier ist mein funktionierender Filter für Postfix-Sasl, die fehlgeschlagen Login-Versuche :

failregex = ^%(__prefix_line)swarning: [-._\w]+\[<HOST>\]: SASL ((?i)LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5) authentication failed(: [ A-Za-z0-9+/:]*={0,2})?\s*$ 

Auch hier möchte ich nur IP-Adressen übereinstimmen, die sehr geschätzt von ‚somespammyserver.top‘ Jede Hilfe vorangestellt.

Answer 1

Etwas Ähnliches könnte hilfreich sein:

connect from [\w.]+\.top\[([.\d]+)\] 
# look for connect from literally 
# followed by \w = a-z0-9_ and . greedily 
# followed by .top[ 
# capture everything that is a digit or a dot into the first group 
# (hence the()) 
# followed immediately by a closing bracket ] 

Siehe a demo on regex101.com.