inetbase kurmayı denediniz mi ?

SSH üzerinde netstat çıktılarını almak için

netstat -ntu

tüm TCP ve UDP bağlantıları listeler (rakamsal olarak)

netstat -ntu | grep SYN

tüm TCP ve UDP bağlantılar içinde SYN_SENT ve SYN_RECV bağlantı durumlarını ekrana basar

grep sonrasında yer alan kısmı kendi isteğinize göre değiştirebilirsiniz. Örnek komut yazacak olursak

netstat -ntu | grep ESTABLISHED

ekrana sadece ESTABLISHED olan bağlantı durumlarını basar..

netstat -ntu | awk '{print $5}' | awk '{sub("::ffff:","");print}' | cut -f1 -d ':' | sort | uniq -c | sort -n | grep -v -e server -e Address -e 127.0.0.1 -e 0.0.0.0

Yukarıda yer alan komut ffff tablosu ile ekrana basılan değerler dahil tüm ip listesini küçükten büyüye göre sıralar. Yine komuta grep ekleyerek bağlantı durumuna göre listeleme yapabiliriz.

for i in $(netstat -ntu | awk '{print $5}' | awk '{sub("::ffff:","");print}' | cut -f1 -d ':' | sort | uniq -c | sort -n | grep -v -e server -e Address -e 127.0.0.1 -e 0.0.0.0 | awk '{ if ($1 > 30) print $2 }'); do /usr/sbin/csf -d $i;done

Yukarıda yer alan komut ise 30 rakamından büyük bağlantı sayısı oluşturan tüm ipleri csf firewall yazılımı aracılığı ile banlayarak sunucudan uzaklaştırılır. Son awk yazılımında yer alan 30 değerini yükselterek limiti arttırabilir yine netstat sonrası grep ekleyerek sıralamayı belirli bağlantı durumlarına göre listeleyebilirsiniz.

inetbase tarzı yazılımlar kurarak ortalama bir max connection değeri belirleyerek saldırı yapan iplerin otomatik olarak uzaklaştırılmasını sağlayabilirsin..