가능한 ssh 공격자의 IP 주소를 검색하는 방법은 무엇입니까?

나는 단지 cat /var/log/auth.log기록하고 많은 | grep "Failed password for"레코드 가 있다는 것을 알았습니다 .

그러나 유효한 / 유효하지 않은 사용자를위한 두 가지 가능한 레코드 유형이 있습니다. 그것은 | cut그들에게 나의 시도를 복잡하게 한다.

가능한 공격자의 IP 주소와 각 IP 주소에 대한 시도 횟수를 가진 목록 (텍스트 파일)을 만들고 싶습니다. 그것을 만드는 쉬운 방법이 있습니까?

또한, 관련 정보 ssh: /var/log/auth.log가능한 공격자 목록을 만들 때 고려해야 할 모든 기록은 무엇입니까 ?

숨겨진 숫자가있는 내 'auth.log'의 예 :

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

결과:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

다음과 같은 것을 사용할 수 있습니다.

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

문자열을 grep 하고 ip 주소를 Failed password for추출합니다 ( -o). 정렬되어 uniq발생 횟수를 계산합니다.

출력 결과는 다음과 같습니다 (예 : 입력 파일).

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

출력의 마지막 것은 6 번 시도했습니다.

팽창 된 솔루션 일 수도 있지만 Fail2Ban 과 같은 것을 설치하는 것이 좋습니다.

이러한 종류의 로깅을 위해 만들어졌으며 방화벽에 (임시) 규칙을 추가하여 반복적 인 위반자를 차단할 수있는 보너스를 추가합니다. 그래도 자신의 IP를 허용 목록에 추가하십시오.

이것은 나를 위해 잘 작동했습니다. (유죄를 보호하기 위해 IP가 변경되었습니다)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u