Comment récupérer les adresses IP des éventuels attaquants ssh?

Je viens de me cat /var/log/auth.logconnecter et de voir qu'il existe de nombreux | grep "Failed password for"enregistrements.

Cependant, il existe deux types d'enregistrement possibles - pour un utilisateur valide / non valide. Cela me complique mes tentatives | cut.

Je voudrais voir créer une liste (fichier texte) avec les adresses IP des attaquants potentiels et le nombre de tentatives pour chaque adresse IP. Existe-t-il un moyen simple de le créer?

Aussi, concernant uniquement ssh: Quels sont les enregistrements dont /var/log/auth.logje devrais tenir compte lors de la liste des attaquants potentiels?

Exemple de mon 'auth.log' avec des nombres cachés:

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

Résultat:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

Vous pouvez utiliser quelque chose comme ceci:

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

Il recherche la chaîne Failed password foret extrait ( -o) l'adresse IP. Il est trié et uniqcompte le nombre d'occurrences.

La sortie ressemblerait alors à ceci (avec votre exemple comme fichier d'entrée):

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

Le dernier dans la sortie a essayé 6 fois.

Ce pourrait être une solution gonflée, mais je vous suggère de regarder l'installation de quelque chose comme Fail2Ban

Il est fait pour ce type de journalisation + ajoute le bonus de pouvoir ajouter des règles (temporaires) dans votre pare-feu pour bloquer les récidivistes. Assurez-vous de mettre votre propre IP en liste blanche, j'ai réussi à me verrouiller temporairement à quelques reprises

Cela a très bien fonctionné pour moi. (Les adresses IP ont été modifiées pour protéger les coupables)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u