Согласен, но если есть сторонняя база с репортами и статистикой, то 10% -- надо подумать, а 80%+ -- это гарантированный бан. А как ты по единичному факту определишь, стоит банить или нет?

Не понял в чём суть вопроса. Я говорю о том что если анализатор увидел в логах 2-3-5 записей за 1-5-60-...минут по которым точно понятно что это скан хотя бы даже известных уязвомостей то почему это не может быть авто-бан без всяких баз?

офтопик.  Ребята, давайте наконец сделаем этот сайт красивее и удобнее для всех нас. Договоритесь по администрированию сайта, чтобы если кто-то не может, то другой смог бы админить сайт.

Тут постоянно кто то из администрации есть\мониторит. Сделать удобнее и красивее тоже в процессе...

Единственное, что похоже на реальное, это

Не единственное ... сканы на уязвимости тоже легко пеленгуються .... сами по себе вреда не несут а вот лишнюю нагрузку создают потому такие случаи тоже можно обрабатывать автоматически с добавление в банлист

Согласен, но если есть сторонняя база с репортами и статистикой, то 10% -- надо подумать, а 80%+ -- это гарантированный бан. А как ты по единичному факту определишь, стоит банить или нет?

офтопик.  Ребята, давайте наконец сделаем этот сайт красивее и удобнее для всех нас. Договоритесь по администрированию сайта, чтобы если кто-то не может, то другой смог бы админить сайт.

Единственное, что похоже на реальное, это

Не единственное ... сканы на уязвимости тоже легко пеленгуються .... сами по себе вреда не несут а вот лишнюю нагрузку создают потому такие случаи тоже можно обрабатывать автоматически с добавление в банлист

Attempt to directly access an un-validated or future/expired page

Это могут быть и абьюзеры и боты поисковых систем.

Единственное, что похоже на реальное, это

Log in failed, user : ThomasBok

-- если проверять имя на наличие в базе, можно более-менее уверенно считать такой ip как нежелательный. В остальном не знаю.

Проверял айпишники ради интереса на AbuseIPDB, и какой-то системности для себя не определил.

В настройках модуля Users можно отключить проверку имэйла, но это для экстремалов

2) Бан по IP , по Имени  

Не понимаю бана по Емайл.  - это сразу банит сервис почты  и все Емайлы который в этом сервисе ?   или банить по конкретному Емайл привязанному к учётной записи на сайте ?

на некоторых сайтах регистрация по Емайл может быть отключена

Поиск или фильтр? Скорее нужен фильтр.

Блокировка по имени -- это группа №3 ))

Вообще, странно выглядит в одной записи два поля -- для ip и для имэйл. Блокировка по имэйл мне за все время требовалось только в одном случае -- когда спамер(ы) дружно регистрировали аккаунты на персональном почтовом домене. Теоретически нужно, например, чтобы не допускать или банить регистрации с конкретного почтового сервиса. Польза сомнительная, но все же.

Предлагаю в плагине просто сделать две локации: бан по ip и бан по имэйл.

Не смотрел еще: плагин-таки запрещает регистрировать аккаунт с забаненного хоста или нет?

1) тумблер - ON / OFF и дату блокировки к сроку действия.  т.е. чтобы IP не пропадал из чёрного списка, но блокировка выключалась этим тумблером, а не наличием маски в списке.

2) Нужен поиск по маскам, если масок много, чтобы не дублировать маски.

3) Блокировка по имени пользователя

Что же касается предложеного анализатора то да это тоже важный функционал которого как ни странно до сих пор никто не реализовал (очевидно до сих пор небыло необходимости). Вопрос его отношения к банлисту верный в том плане что его нужно делать отдельно, но и к логам он тоже не относится напрямую. Скорее это плагин прокладка который на основе логов и другой статистики может вносить\предлагать новые строки в список банлиста потому это три отдельные сущности - логи, анализатор, банлист.

Потому далее конкретику я вижу так:

- В этой теме предлагаем доработки и обновляем коробочный банлист

- Создаем, А - тикет с предложением по вопросу создания плагина "анализатора" в котором тезисно описываем желаемый принцып работы и один или несколько алгоритмов "выявления". Б - создаём на форуме отдельную тему в которой более раскрыто предлагаем\обсуждаме\дискутируем по функционалу очевидно нужного "анализатора", а когда и если дойдёт дело до каких то конкретных реализаций то уже потом решить быть ему сторонним или коробочным решением.

1. Сортировка banlist_expire DESC, banlist_ip на практике неудобная, потому как непонятно куда залетает новый ip, и искать, соответственно, морочно. Для себя добавил поле с датой и отсортировал по ее убыванию. Сразу стало проще.
2. Круто что можно добавить айпишник в бан на определенный срок, но на практике это вряд ли кому нужно. К тому же изменение этого дела (пока) не реализовано.
3. Вместо срока действия я бы добавил режим "работает / на паузе". Это проще и это удобно если по какой-то причине надо проверить вариант снятия бана с ip-адреса, не теряя его при этом.
4. Попробую добавить сортировку и посмотрю, надо ли оно.
5. Фильтр был бы очень полезен, тоже попробую добавить и потестить.