For Want Of A Better Word

【Linuxサーバー】【logwatch】【ssh】への大量アクセスメモ

      2015/04/18

総当たりでログインしようとしているっぽいログがあったので、これがアタックのログだという一例で保存。

——————— pam_unix Begin ————————

sshd:
Authentication Failures:
unknown (193.255.57.13): 1012 Time(s)
unknown (ns228381.ovh.net): 81 Time(s)
root (222.186.52.71): 50 Time(s)
root (ns228381.ovh.net): 10 Time(s)
unknown (221.208.245.210): 4 Time(s)
mysql (ns228381.ovh.net): 2 Time(s)
bin (ns228381.ovh.net): 1 Time(s)
gopher (221.208.245.210): 1 Time(s)
haldaemon (221.208.245.210): 1 Time(s)
unknown (103.28.114.85): 1 Time(s)
Invalid Users:
Unknown Account: 1098 Time(s)

———————- pam_unix End ————————-

Authentication Failures:存在するユーザーでの認証失敗
Invalid Users:ユーザーが存在しない

——————– SSHD Begin ————————

Disconnecting after too many authentication failures for user:
root : 48 Time(s)

Failed logins from:
176.31.237.108 (ns228381.ovh.net): 13 times
221.208.245.210: 2 times
222.186.52.71: 290 times

Illegal users from:
103.28.114.85 (host-103-28-114-85.ldp.net.id): 1 time
176.31.237.108 (ns228381.ovh.net): 81 times
193.255.57.13: 1012 times
221.208.245.210: 4 times

Received disconnect:
11: Bye Bye : 1112 Time(s)

**Unmatched Entries**
PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.186.52.71user=root : 48 time(s)
reverse mapping checking getaddrinfo for host-103-28-114-85.ldp.net.id [103.28.114.85] failed – POSSIBLE BREAK-IN ATTEMPT! : 1 time(s)
PAM service(sshd) ignoring max retries; 6 > 3 : 48 time(s)

——————– SSHD End ————————

  • Disconnecting after too many authentication failures for user:
    • ssh_\configで設定されている、ログイン試行回数を超えた。
  • Failed logins fro:
    • ログイン失敗回数
  • Illegal users from:
    • アクセス元のIPと試行(失敗回数)回数
  • Received disconnect:
    • 接続断の回数

【参考】ログウォッチの見方
http://www.atmarkit.co.jp/ait/articles/0302/22/news002_2.html

「pam_unix」は/var/log/messagesから、「Connections (secure-log)」は、/var/log/secureに出力された内容を解析した結果となる。

なお、どの項目がどのファイルを参照しているかについては、/etc/log.d/conf/services以下のファイルを見ればよい。

 - linux

  関連記事

centos_logo
chroot_任意のディレクトリのみを見せるようにしたい

■chrootの基本設定 chrootは22番ポートにたいして特定ユーザーの接続 …

027
sendmailエラー dsn=4.4.3, stat=queued

CentOS sendmailでとあるアプリケーションからメール送信をしたときに …

027
CentOS yumインストールで、OSはバージョンアップしない方法

下記参考になります。 http://d.hatena.ne.jp/kou_i/2 …

centos_logo
Linux用外付けHDDの設定の流れ

h2. まずはフォーマットをしたい h3. 対象を探す http://d.hat …

027
ssh 公開鍵認証 共通鍵認証関連まとめ

なんか、sshとか、秘密鍵とか、公開鍵とか、いろいろ曖昧だったので調査した覚書。 …