Πώς να μάθετε τι αποτυχημένες προσπάθειες SSH είχε ο διακομιστής μας

Πριν από λίγο καιρό εξήγησα πώς να ξέρετε ποιες IP έχουν συνδεθεί με SSH, αλλά ... τι γίνεται αν το όνομα χρήστη ή ο κωδικός πρόσβασης δεν ήταν σωστά και δεν συνδεθούν;

Με άλλα λόγια, εάν υπάρχει κάποιος που προσπαθεί να μαντέψει πώς να αποκτήσει πρόσβαση στον υπολογιστή ή στον διακομιστή μας μέσω SSH, πρέπει πραγματικά να γνωρίζουμε ή όχι;

Για αυτό θα κάνουμε την ίδια διαδικασία όπως στην προηγούμενη ανάρτηση, θα φιλτράρουμε το αρχείο καταγραφής ταυτότητας, αλλά αυτή τη φορά, με ένα διαφορετικό φίλτρο:

cat /var/log/auth* | grep Failed

Αφήνω ένα στιγμιότυπο οθόνης για το πώς φαίνεται:

Όπως μπορείτε να δείτε, μου δείχνει τον μήνα, την ημέρα και την ώρα κάθε αποτυχημένης προσπάθειας, καθώς και τον χρήστη με τον οποίο προσπάθησαν να εισέλθουν και την IP από την οποία προσπάθησαν να αποκτήσουν πρόσβαση.

Αλλά αυτό μπορεί να κανονιστεί λίγο περισσότερο, θα το χρησιμοποιήσουμε awk για να βελτιώσετε λίγο το αποτέλεσμα:

cat /var/log/auth* | grep Failed | awk '{print $2 "-" $1 " " $3 "\t USUARIO: " $9 "\t DESDE: " $11}'

Εδώ βλέπουμε πώς θα φαίνεται:

Αυτή η γραμμή που μόλις έδειξα δεν πρέπει να τα απομνημονεύσετε όλα, μπορείτε να δημιουργήσετε ένα ψευδώνυμο γι 'αυτήν, το αποτέλεσμα είναι το ίδιο με την πρώτη γραμμή, λίγο πιο οργανωμένη.

Αυτό ξέρω ότι δεν θα είναι χρήσιμο σε πολλούς, αλλά για όσους από εμάς διαχειριζόμαστε διακομιστές ξέρω ότι θα μας δείξει κάποια ενδιαφέροντα δεδομένα hehe.

αφορά