Wie kann ich IP-Adressen von möglichen SSH-Angreifern abrufen?

Ich habe mich gerade cat /var/log/auth.logangemeldet und festgestellt, dass es viele | grep "Failed password for"Datensätze gibt.

Es gibt jedoch zwei mögliche Datensatztypen - für einen gültigen / ungültigen Benutzer. Es erschwert meine Versuche, | cutsie.

Ich würde gerne eine Liste (Textdatei) mit den IP-Adressen möglicher Angreifer und der Anzahl der Versuche für jede IP-Adresse erstellen. Gibt es eine einfache Möglichkeit, es zu erstellen?

Außerdem nur in Bezug auf ssh: Was für Aufzeichnungen /var/log/auth.logsollte ich berücksichtigen, wenn ich eine Liste möglicher Angreifer erstelle?

Beispiel für mein 'auth.log' mit versteckten Zahlen:

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

Ergebnis:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

Sie könnten so etwas verwenden:

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

Es greift nach dem String Failed password forund extrahiert ( -o) die IP-Adresse. Es ist sortiert und uniqzählt die Anzahl der Vorkommen.

Die Ausgabe würde dann so aussehen (mit Ihrem Beispiel als Eingabedatei):

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

Der letzte in der Ausgabe hat es 6 Mal versucht.

Es könnte eine aufgeblähte Lösung sein, aber ich schlage vor, Sie versuchen etwas wie Fail2Ban zu installieren

Diese Art der Protokollierung bietet den Vorteil, dass Sie (temporäre) Regeln in Ihre Firewall einfügen können, um sich wiederholende Täter zu blockieren. Stellen Sie jedoch sicher, dass Sie Ihre eigenen IP-Adressen auf die Whitelist setzen. Ich habe es nur gelegentlich geschafft, mich vorübergehend auszuschließen

Das hat für mich sehr gut geklappt. (IPs wurden geändert, um die Schuldigen zu schützen)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u