Làm thế nào để lấy địa chỉ IP của những kẻ tấn công ssh có thể?

Tôi vừa cat /var/log/auth.logđăng nhập và thấy rằng có nhiều | grep "Failed password for"hồ sơ.

Tuy nhiên, có hai loại bản ghi có thể - cho người dùng hợp lệ / không hợp lệ. Nó làm phức tạp nỗ lực của tôi cho | cuthọ.

Tôi muốn xem tạo một danh sách (tệp văn bản) với địa chỉ IP của những kẻ tấn công có thể và số lần thử cho mỗi địa chỉ IP. Có cách nào dễ dàng để tạo ra nó?

Ngoài ra, chỉ liên quan ssh: Tất cả những hồ sơ /var/log/auth.logtôi nên xem xét khi lập danh sách những kẻ tấn công có thể?

Ví dụ về 'auth.log' của tôi với các số ẩn:

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

Kết quả:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

Bạn có thể sử dụng một cái gì đó như thế này:

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

Nó greps cho chuỗi Failed password forvà trích xuất ( -o) địa chỉ IP. Nó được sắp xếp, và uniqđếm số lần xuất hiện.

Đầu ra sau đó sẽ trông như thế này (với ví dụ của bạn là tệp đầu vào):

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

Cái cuối cùng trong đầu ra đã thử 6 lần.

Nó có thể là một giải pháp cồng kềnh nhưng tôi khuyên bạn nên xem việc cài đặt một cái gì đó như Fail2Ban

Nó được tạo ra cho loại ghi nhật ký này + thêm phần thưởng cho việc có thể thêm các quy tắc (tạm thời) trong tường lửa của bạn để chặn những người vi phạm lặp lại. Hãy chắc chắn để liệt kê danh sách ip của riêng bạn, tôi đã tạm thời tự khóa mình trong một vài lần

Điều này làm việc thực sự tốt cho tôi. (IP đã được thay đổi để bảo vệ người có tội)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u