【Linuxサーバー】【logwatch】【ssh】への大量アクセスメモ

総当たりでログインしようとしているっぽいログがあったので、これがアタックのログだという一例で保存。

——————— pam_unix Begin ————————

sshd:
Authentication Failures:
unknown (193.255.57.13): 1012 Time(s)
unknown (ns228381.ovh.net): 81 Time(s)
root (222.186.52.71): 50 Time(s)
root (ns228381.ovh.net): 10 Time(s)
unknown (221.208.245.210): 4 Time(s)
mysql (ns228381.ovh.net): 2 Time(s)
bin (ns228381.ovh.net): 1 Time(s)
gopher (221.208.245.210): 1 Time(s)
haldaemon (221.208.245.210): 1 Time(s)
unknown (103.28.114.85): 1 Time(s)
Invalid Users:
Unknown Account: 1098 Time(s)

———————- pam_unix End ————————-

Authentication Failures:存在するユーザーでの認証失敗
Invalid Users:ユーザーが存在しない

——————– SSHD Begin ————————

Disconnecting after too many authentication failures for user:
root : 48 Time(s)

Failed logins from:
176.31.237.108 (ns228381.ovh.net): 13 times
221.208.245.210: 2 times
222.186.52.71: 290 times

Illegal users from:
103.28.114.85 (host-103-28-114-85.ldp.net.id): 1 time
176.31.237.108 (ns228381.ovh.net): 81 times
193.255.57.13: 1012 times
221.208.245.210: 4 times

Received disconnect:
11: Bye Bye : 1112 Time(s)

**Unmatched Entries**
PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.186.52.71user=root : 48 time(s)
reverse mapping checking getaddrinfo for host-103-28-114-85.ldp.net.id [103.28.114.85] failed – POSSIBLE BREAK-IN ATTEMPT! : 1 time(s)
PAM service(sshd) ignoring max retries; 6 > 3 : 48 time(s)

——————– SSHD End ————————

• Disconnecting after too many authentication failures for user:
  • ssh_\configで設定されている、ログイン試行回数を超えた。
• Failed logins fro:
  • ログイン失敗回数
• Illegal users from:
  • アクセス元のIPと試行(失敗回数)回数
• Received disconnect:
  • 接続断の回数

【参考】ログウォッチの見方
http://www.atmarkit.co.jp/ait/articles/0302/22/news002_2.html

「pam_unix」は/var/log/messagesから、「Connections （secure-log）」は、/var/log/secureに出力された内容を解析した結果となる。

なお、どの項目がどのファイルを参照しているかについては、/etc/log.d/conf/services以下のファイルを見ればよい。