En regardant les logs apache défiler on repère qu’une plage d’IPs flood le site cible. Vu qu’il y a plus de 500 IPs différentes qui envoient des requêtes par paquets, on ne va pas tenter de bloquer par IP. Par contre, le user-agent est toujours le même :
Apache-HttpClient/4.5 (Java/1.8.0-jdk8u76-b00)
On commence donc par calmer le jeu en bloquant toutes les connections de cet user agent :
iptables -A INPUT -p tcp —dport 80 -m string —algo bm —string "Apache-HttpClient/4.5 (Java/1.8.0-jdk8u76-b00)" (...)