For Want Of A Better Word

【Linuxサーバー】【logwatch】【ssh】への大量アクセスメモ

      2015/04/18

総当たりでログインしようとしているっぽいログがあったので、これがアタックのログだという一例で保存。

——————— pam_unix Begin ————————

sshd:
Authentication Failures:
unknown (193.255.57.13): 1012 Time(s)
unknown (ns228381.ovh.net): 81 Time(s)
root (222.186.52.71): 50 Time(s)
root (ns228381.ovh.net): 10 Time(s)
unknown (221.208.245.210): 4 Time(s)
mysql (ns228381.ovh.net): 2 Time(s)
bin (ns228381.ovh.net): 1 Time(s)
gopher (221.208.245.210): 1 Time(s)
haldaemon (221.208.245.210): 1 Time(s)
unknown (103.28.114.85): 1 Time(s)
Invalid Users:
Unknown Account: 1098 Time(s)

———————- pam_unix End ————————-

Authentication Failures:存在するユーザーでの認証失敗
Invalid Users:ユーザーが存在しない

——————– SSHD Begin ————————

Disconnecting after too many authentication failures for user:
root : 48 Time(s)

Failed logins from:
176.31.237.108 (ns228381.ovh.net): 13 times
221.208.245.210: 2 times
222.186.52.71: 290 times

Illegal users from:
103.28.114.85 (host-103-28-114-85.ldp.net.id): 1 time
176.31.237.108 (ns228381.ovh.net): 81 times
193.255.57.13: 1012 times
221.208.245.210: 4 times

Received disconnect:
11: Bye Bye : 1112 Time(s)

**Unmatched Entries**
PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.186.52.71user=root : 48 time(s)
reverse mapping checking getaddrinfo for host-103-28-114-85.ldp.net.id [103.28.114.85] failed – POSSIBLE BREAK-IN ATTEMPT! : 1 time(s)
PAM service(sshd) ignoring max retries; 6 > 3 : 48 time(s)

——————– SSHD End ————————

  • Disconnecting after too many authentication failures for user:
    • ssh_\configで設定されている、ログイン試行回数を超えた。
  • Failed logins fro:
    • ログイン失敗回数
  • Illegal users from:
    • アクセス元のIPと試行(失敗回数)回数
  • Received disconnect:
    • 接続断の回数

【参考】ログウォッチの見方
http://www.atmarkit.co.jp/ait/articles/0302/22/news002_2.html

「pam_unix」は/var/log/messagesから、「Connections (secure-log)」は、/var/log/secureに出力された内容を解析した結果となる。

なお、どの項目がどのファイルを参照しているかについては、/etc/log.d/conf/services以下のファイルを見ればよい。

 - linux

  関連記事

centos_logo
【Linux】TCP・UDPポートの疎通確認・アクセス元IPの確認をしたい

とある要件で自前のサーバーとUDPの疎通・アクセス元IPの確認をする必要が生じた …

027
【まとめ済み】configure make make-install の違い

以下の記事にまとめました。 http://www.fwoabw.info/ent …

027
windows7 Professional に windowXPモード と VirtualPCをインストール。

とりあえず windowsでLinuxの仮想環境を立てるため、お手軽そうなVir …

centos_logo
【Linux】windowsサーバーのマウント

  ■手動マウント   [crayon-5849a1bdda …

027
ルーティングテーブル

ルータで利用される。IPアドレスと経路の管理表。ルータはパケットの宛先IPアドレ …