Да, но я добавляю подозрительные IP-адреса вручную по мере их появления. Есть ли способ, чтобы UDM мог отслеживать источники трафика и автоматически блокировать IP-адреса, если они соответствуют определенным порогам агрессивности и очевидным паттернам владения? Например, мой ручной анализ трафика будет смотреть на источники по IP-адресам и группировать их по подсетям /16 и /24. Если в какой-то конкретной подсети наблюдается всплеск трафика, я смотрю информацию о владельце IP-адреса в этом диапазоне (lookup.icann.org), чтобы узнать имя владельца и полный контроль над подсетью. Если владелец зарегистрирован как "облачные сервисы", я блокирую этот IP-адрес. Обычно это диапазон /16 или /24, но иногда это /11 или что-то подобное. До сих пор весь нежелательный трафик соответствует именно этой модели, что заставило меня поверить (чистое предположение) в то, что это AI-боты, пытающиеся учиться, а не скоординированная DDOS-атака. Может ли UDM делать этот анализ и блокировку автоматически, чтобы я не приходилось вручную отслеживать шаблоны трафика?

Пока что весь этот агрессивный трафик идет от четко обозначенных сервисов "облачных" из Азии. Есть ли более удобный способ для UDM автоматически отслеживать и справляться с таким чрезмерно агрессивным трафиком?

Автор в своем посте сказал, что это общедоступный веб-сервер. Но если он пытается заблокировать IP-адреса, проблема не исчезнет.

Я в замешательстве. У вас есть публичный веб-сервер, а вы хотите блокировать IP-адреса с него, потому что они выглядят как недоброжелатели. Это как-то противоречит самой идее публичного веб-сервера. Я предложил VPN для доступа к веб-серверу, так как не было понятно, предназначен ли он для ограниченного доступа сотрудников, например. Как я уже говорил, блокировка IP-адресов – это бесполезное занятие, потому что недоброжелатели могут обойти блокировку с помощью VPN (используя другой диапазон IP-адресов). Они уже нашли ваш веб-сервер из-за открытого порта и продолжат его сканировать и пытаться получить доступ. Мы размещаем веб-сервисы на облачных серверах, которые не работают на сети Unifi, и используем гораздо более продвинутые инструменты брандмауэра, но все равно регулярно получаем попытки атак.

Можно попробовать блокировку по географическому положению или блокировку с уведомлением, но блокировка IP-адресов не остановит злонамеренную атаку, потому что злоумышленник может использовать VPN, чтобы замаскировать своё местоположение. Я бы также настоятельно не советовал открывать порты во внешнюю сеть, это как приглашение для сканирования ботами и взломов, что, возможно, и происходит. Гораздо лучше использовать VPN-сервис. У вас включены системы обнаружения и предотвращения вторжений (IDS/IPS)? Какой контроллер у вас используется?