а этот сервак ставишь fail2ban? и чувак в бане)!
Именно так 
Именно так ab
Благодарю! Наверное на этом форуме тоже такое решение стоит) что верно считаю я). Просто занимаюсь безопасностью и защищаю нашу сеть - и сразу вижу плоды своей работы)) а так поди узнай, что происходит)
]]>а этот сервак ставишь fail2ban? и чувак в бане)!
Именно так
Ну, тогда нет, чуть выше уже видно, что я ошибся.
Хорошо))) ну бывает не заметил на циске)))
А вот следующее -- я сейчас поднимаю Freebsd and Linux сервера, чтобы с них шли логи мне. То в этом случае как раз надо решение fail2ban делать. Вообще правильно понимаю fail2ban решение для UNIX серверов и сюдя повсему его надо стаить на тот сервер, куда пытаются зайти. например на IP 10.20.30.40 попытка взлома, на этот сервак ставишь fail2ban? и чувак в бане)!
нужна ли в этом необходимость, если бан уже сам через radius блочит и по IP этому уже не зайти
Ну, тогда нет, чуть выше уже видно, что я ошибся.
]]>Fail2ban (на всякий случай говорю) настройте.
Спасибо Yars за данное решение, не слышал о таком, но уже почитал http://ru.gentoo-wiki.com/wiki/Fail2ban или http://maint.mirivlad.ru/doc/fail2ban.shtml и понял что это за решение. Но вопрос, это реализовывается, как я понял только если я логи собираю с серверов UNIX? или в том числе с железок? у меня мои логи, где пытаются зайти идут с cisco. И на ней немного другая защита. Через radius. Т.е. прописан только я и еще один человек, кто имеет доступ ко всему, к железу и серверам. Просто хотелось бы понять, я например настроил, fail2ban может только с UNIX-серверами работает? Буду признателен пояснению, с настройкой думаю сложностей не будет особо.
А на циске у меня так, если 3 раза неверно ввел, то все на 3 часа бан, а доступ как я уже сказал имею только я и еще один человек с фирмы (тех.директор). Соответственно хочу понять, нужна ли в этом необходимость, если бан уже сам через radius блочит и по IP этому уже не зайти. жди 3 часа 
на циске? :-)
А, не заметил.
]]>Fail2ban (на всякий случай говорю) настройте.
на циске? :-)
]]>попытки уже от root зайти.
Fail2ban (на всякий случай говорю) настройте.
]]>попытки уже от root зайти.
Jan 31 11:54:49 5.6.7.8 8475: Jan 31 11:54:43.675 MSK: %SEC_LOGIN-4-LOGIN_FAILED: Login failed [user: root] [Source: 117.79.148.34] [localport: 22] [Reason: Login Authentication Failed] at 11:54:43 MSK Thu Jan 31 2013
Jan 31 11:54:55 5.6.7.8 8476: Jan 31 11:54:49.019 MSK: %SEC_LOGIN-4-LOGIN_FAILED: Login failed [user: root] [Source: 117.79.148.34] [localport: 22] [Reason: Login Authentication Failed] at 11:54:49 MSK Thu Jan 31 2013
Jan 31 13:07:58 5.6.7.8 8477: Jan 31 13:07:52.270 MSK: %SEC_LOGIN-4-LOGIN_FAILED: Login failed [user: root] [Source: 115.209.176.58] [localport: 23] [Reason: Login Authentication Failed] at 13:07:52 MSK Thu Jan 31 2013
или что сначала отвалился интерфейс а потом поднялся сам
Jan 31 15:03:00 10.20.30.40 12932: 012928: Jan 31 15:02:54: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/11, changed state to down
Jan 31 15:03:01 10.20.30.40 12933: 012929: Jan 31 15:02:55: %LINK-3-UPDOWN: Interface FastEthernet0/11, changed state to down
Jan 31 15:03:28 10.20.30.40 12934: 012930: Jan 31 15:03:22: %LINK-3-UPDOWN: Interface FastEthernet0/11, changed state to up
Jan 31 15:03:28 10.20.30.40 12935: 012931: Jan 31 15:03:23: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/11, changed state to up
Кстати, можно настроить уровень логов, я предпочитаю, чтобы мне все вподряд не шло, а минимум с 5 уровня. всякие алармы.
]]>Jan 31 09:08:43 5.6.7.8 8446: Jan 31 09:08:37.294 MSK: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 09:08:37 MSK Thu Jan 31 2013
Jan 31 09:08:52 5.6.7.8. 8447: Jan 31 09:08:46.954 MSK: %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 0 secs, [user: pmohan] [Source: 216.218.233.107] [localport: 22] [Reason: Login Authentication Failed] [ACL: 6] at 09:08:46 MSK Thu Jan 31 2013
Jan 31 09:09:52 5.6.7.8 8448: Jan 31 09:09:46.955 MSK: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 09:09:46 MSK Thu Jan 31 2013
Jan 31 09:10:02 5.6.7.8 8449: Jan 31 09:09:56.692 MSK: %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 0 secs, [user: saesini] [Source: 216.218.233.107] [localport: 22] [Reason: Login Authentication Failed] [ACL: 6] at 09:09:56 MSK Thu Jan 31 2013
Jan 31 09:11:02 5.6.7.8 8450: Jan 31 09:10:56.693 MSK: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 09:10:56 MSK Thu Jan 31 2013
Jan 31 09:11:12 5.6.7.8 8451: Jan 31 09:11:06.166 MSK: %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 0 secs, [user: sky1000] [Source: 216.218.233.107] [localport: 22] [Reason: Login Authentication Failed] [ACL: 6] at 09:11:06 MSK Thu Jan 31 2013
Jan 31 09:12:12 5.6.7.8 8452: Jan 31 09:12:06.167 MSK: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 09:12:06 MSK Thu Jan 31 2013
Jan 31 09:12:21 5.6.7.8 8453: Jan 31 09:12:15.803 MSK: %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 0 secs, [user: isaac] [Source: 216.218.233.107] [localport: 22] [Reason: Login Authentication Failed] [ACL: 6] at 09:12:15 MSK Thu Jan 31 2013
Jan 31 09:13:21 5.6.7.8 8454: Jan 31 09:13:15.805 MSK: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 09:13:15 MSK Thu Jan 31 2013
Кто-то пытается взломать меня. Просто тупо подбор паролей и юзера брутфорсом, настроил чтобы после 3 неверных попыток блочить на 3 часа. )))
Ох, какая это полезная вещь делать логирование!!! Сейчас занимаюсь, чтобы мне на email отсылалась инфа о попытках взлома и чтобы в заббиксе можно было мониторить в режиме онлайн.
source from_all { udp (ip("1.2.3.4") port(514)); };
destination to_all { file ( "/var/log/HOSTS/$HOST/log" perm(0640) dir_perm(0755) create_dirs(yes)); };
log { source(from_all); destination(to_all); };
Сначала сделал дамп и убедился, что сообщения идут мне:
17:27:36.592957 IP 1.2.3.4 > 5.6.7.8: ICMP echo request, id 32585, seq 185, length 40
17:27:36.593690 IP 5.6.7.8 > 1.2.3.4: ICMP echo reply, id 32585, seq 185, length 40
17:27:38.602509 IP 1.2.3.4 > 5.6.7.8: ICMP echo request, id 32585, seq 236, length 40
17:27:38.603126 IP 5.6.7.8 > 1.2.3.4: ICMP echo reply, id 32585, seq 236, length 40
17:27:54.323664 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:27:55.326044 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:27:56.328954 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:27:57.329946 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:27:58.331670 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:27:59.332844 IP 1.2.3.4.51265 > 5.6.7.8.snmp: C=RHnutDM+ GetRequest(31) interfaces.ifTable.ifEntry.ifInOctets.10004
17:28:27.521965 IP 1.2.3.4 > 5.6.7.8: ICMP echo request, id 32604, seq 36, length 40
17:28:27.522624 IP 5.6.7.8 > 1.2.3.4: ICMP echo reply, id 32604, seq 36, length 40
17:28:29.530478 IP 1.2.3.4 > 5.6.7.8: ICMP echo request, id 32604, seq 87, length 40
17:28:29.531212 IP 5.6.7.8 > 1.2.3.4: ICMP echo reply, id 32604, seq 87, length 40
а то был порт недоступен ранее, хотя сообщение приходили, но отбрасывались сервером:
12:39:52.594590 IP 5.6.7.8.60442 > 1.2.3.4. syslog: SYSLOG local5.error, length: 99
12:39:52.594605 IP 1.2.3.4 > 5.6.7.8: ICMP 1.2.3.4 udp port syslog unreachable, length 135
в ред хате есть сислог.
там помимо основного конфига есть конфиг запуска службьі, где вьіставляются опции
/etc/sysconfig/syslog
SYSLOGD_OPTIONS="-r -m 0"
после этого служба будет слушать и наружные сообщения...
Кстати, Харитон, в syslon-ng не надо выставлять службу прослушивание внешних источников, syslog-ng автоматом слушает все, как внешние источники, так и сам себя. Это как раз то, что надо! В итоге я настроил несколько железок на отправку логов на сервер и потом проверил сами логи, все работает, логи приходят и пишутся! УРА!
Вот сначала вижу, что создались автоматом нужные мне папки с IP тех девайсов, которые присылают логи
root@monitoring:/var/log/HOSTS# ls
1.2.3.4 5.6.7.8 15.20.25.30 45.40.45.50
А вот просмотр лога одного из девайсов
root@monitoring:/var/log/HOSTS/5.6.7.8# ls
log
root@monitoring:/var/log/HOSTS/5.6.7.8# cat log
Jan 30 17:58:03 5.6.7.8 8404: Jan 30 17:57:57.848 MSK: %SYS-5-CONFIG_I: Configured from console by miscreant on vty0 (192.168.0.20)
Jan 30 17:58:04 5.6.7.8 8405: Jan 30 17:57:58.848 MSK: %SYS-6-LOGGINGHOST_STARTSTOP: Logging to host 1.2.3.4 port 514 started - CLI initiated
Jan 30 17:58:52 5.6.7.8 8406: Jan 30 17:58:46.817 MSK: %SYS-5-CONFIG_I: Configured from console by miscreant on vty0 (192.168.0.20)
Вообщем, мучался неделю, но решение нашел и все работает. Тема закрыта. Всем спасибо, в частности Харитон и i2ks. Удачи
а сислог сервер запущен в режиме прослушивания внешних источников или только локальных? не знаю как в нг, а в обычном сислоге надо опцию включать, чтоб принимать запросы снаружи...
а это где проверить? Вы можете подскзать, или скриншот обычного syslog c этим параметром выложить?
]]>редкий зверь затирает конфиг дефолтным после реинстала. их количество стремится к 0.
но если конфига нет(после анинстала ваш конфиг остается ибо это продукт вашей интеллектуальной собственности), то создается дефолтный...
Я проверил на виртуалке сначала данную процедуру и правильно сделал, что не делал на боевом сервере, иначе бы получил бы проблемы с пакетами.
А дело в том, если файл есть syslong-ng.conf 2Мб к примеру и делаешь reinstall syslog-ng, то да конфиг syslon-ng.conf остается без изменений 2Мб, дефолным он не заменяется!! тут Вы правы Харитон, дефолного конфига не будет!! поэтому я подстраховался, и просто сохранил его в другом месте. а если удалить, то reinstall syslog-ng.conf не сможет обновить! напишет not such file or directory.
вывод, нельзя ручками удалять! лучше заранее сбекапить или просто сохранить в другом месте, и потом делать, что надо. у меня уже подобное было с другими пакетами, в моей теме, описывал на форуме, как переустановить Как убарть ошибки msql+php+cacti (там тоже ругалась система на нехватку пакетов).
да, 514 порт. в инете про этот порт много инфы нашел. вообщем разберусь. отпишусь, как заработает. спасибо за советы