1 Тема от pavlar (12.11.2012 09:29:17 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

У меня fail2ban выставлен на бан после третьей неудачной попытки. Он работает нормально но один чел как то умудрился совершить явно  более трех попыток   . Не могу понять как .Может кто подскажет?

+ открыть спойлер

Nov 11 19:28:00 nat unix_chkpwd[16204]: password check failed for user (root)
Nov 11 19:28:00  sshd[16202]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net  user=root
Nov 11 19:28:02  sshd[16202]: Failed password for root from 165.228.205.178 port 52305 ssh2
Nov 11 19:28:02  sshd[16203]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:05  sshd[16205]: Invalid user gvera from 165.228.205.178
Nov 11 19:28:05  sshd[16206]: input_userauth_request: invalid user gvera
Nov 11 19:28:05  sshd[16205]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:05  sshd[16205]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:05  sshd[16205]: pam_succeed_if(sshd:auth): error retrieving information about user gvera
Nov 11 19:28:06  sshd[16205]: Failed password for invalid user gvera from 165.228.205.178 port 52487 ssh2
Nov 11 19:28:07  sshd[16206]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:09  sshd[16207]: Invalid user vacaciones from 165.228.205.178
Nov 11 19:28:09  sshd[16208]: input_userauth_request: invalid user vacaciones
Nov 11 19:28:09  sshd[16207]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:09  sshd[16207]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:09  sshd[16207]: pam_succeed_if(sshd:auth): error retrieving information about user vacaciones
Nov 11 19:28:12  sshd[16207]: Failed password for invalid user vacaciones from 165.228.205.178 port 52654 ssh2
Nov 11 19:28:12  sshd[16208]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:15  sshd[16209]: Invalid user housingp from 165.228.205.178
Nov 11 19:28:15  sshd[16210]: input_userauth_request: invalid user housingp
Nov 11 19:28:15  sshd[16209]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:15  sshd[16209]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:15  sshd[16209]: pam_succeed_if(sshd:auth): error retrieving information about user housingp
Nov 11 19:28:16  sshd[16209]: Failed password for invalid user housingp from 165.228.205.178 port 52855 ssh2
Nov 11 19:28:17  sshd[16210]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:19  unix_chkpwd[16214]: password check failed for user (root)
Nov 11 19:28:19  sshd[16211]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net  user=root
Nov 11 19:28:21  unix_chkpwd[16216]: password check failed for user (root)
Nov 11 19:28:21  sshd[16213]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=249-132.83-90.static-ip.oleane.fr  user=root
Nov 11 19:28:21  sshd[16211]: Failed password for root from 165.228.205.178 port 53024 ssh2
Nov 11 19:28:22  sshd[16212]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:23  sshd[16213]: Failed password for root from 90.83.132.249 port 8873 ssh2
Nov 11 19:28:24  sshd[16215]: Connection closed by 90.83.132.249
Nov 11 19:28:24  unix_chkpwd[16219]: password check failed for user (root)
Nov 11 19:28:24  sshd[16217]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net  user=root
Nov 11 19:28:26  sshd[16217]: Failed password for root from 165.228.205.178 port 53227 ssh2
Nov 11 19:28:27  sshd[16218]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:30  sshd[16220]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:30  sshd[16220]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:30  sshd[16220]: pam_succeed_if(sshd:auth): error retrieving information about user mjackson
Nov 11 19:28:30  sshd[16220]: Invalid user mjackson from 165.228.205.178
Nov 11 19:28:30  sshd[16221]: input_userauth_request: invalid user mjackson
Nov 11 19:28:32  sshd[16220]: Failed password for invalid user mjackson from 165.228.205.178 port 53423 ssh2
Nov 11 19:28:33  sshd[16221]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:02  unix_chkpwd[16226]: password check failed for user (root)
Nov 11 19:43:02  sshd[16224]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net  user=root
Nov 11 19:43:05  sshd[16224]: Failed password for root from 165.228.205.178 port 53689 ssh2
Nov 11 19:43:05  sshd[16225]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:07  sshd[16227]: Invalid user stud from 165.228.205.178
Nov 11 19:43:07  sshd[16228]: input_userauth_request: invalid user stud
Nov 11 19:43:07  sshd[16227]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:43:07  sshd[16227]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:43:07  sshd[16227]: pam_succeed_if(sshd:auth): error retrieving information about user stud
Nov 11 19:43:10  sshd[16227]: Failed password for invalid user stud from 165.228.205.178 port 53898 ssh2
Nov 11 19:43:10  sshd[16228]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:13  sshd[16229]: Invalid user trash from 165.228.205.178
Nov 11 19:43:13  sshd[16230]: input_userauth_request: invalid user trash
Nov 11 19:43:13  sshd[16229]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:43:23  sshd[16233]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:43:23  sshd[16233]: pam_succeed_if(sshd:auth): error retrieving information about user william
Nov 11 19:43:24  sshd[16233]: Failed password for invalid user william from 165.228.205.178 port 54391 ssh2
Nov 11 19:43:25  sshd[16234]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:27  sshd[16235]: Invalid user stephanie from 165.228.205.178

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

2 Ответ от pavlar (12.11.2012 10:26:32 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Через час он вообще похоже включил генератор паролей и только в 21 :55 обломился. Два с половиной часа непрерывно долбил с интервалом 2 сек Я только часть журнала привёл, пришлось весь лог удалить так как выччщать запариться можно Наверное хакеры научились сбрасывать fail2ban. Как говорится против лома нет приёма

+ открыть спойлер

Nov 11 21:14:56  sshd[19007]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:14:56  sshd[19007]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:14:56  sshd[19007]: pam_succeed_if(sshd:auth): error retrieving information about user free1
Nov 11 21:14:58  sshd[19007]: Failed password for invalid user free1 from 165.228.205.178 port 58931 ssh2
Nov 11 21:14:58  sshd[19008]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:01  sshd[19009]: Invalid user florida1 from 165.228.205.178
Nov 11 21:15:01  sshd[19010]: input_userauth_request: invalid user florida1
Nov 11 21:15:01  sshd[19009]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:01  sshd[19009]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:01  sshd[19009]: pam_succeed_if(sshd:auth): error retrieving information about user florida1
Nov 11 21:15:03  sshd[19009]: Failed password for invalid user florida1 from 165.228.205.178 port 59083 ssh2
Nov 11 21:15:04  sshd[19010]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:06  sshd[19011]: Invalid user florida from 165.228.205.178
Nov 11 21:15:06  sshd[19012]: input_userauth_request: invalid user florida
Nov 11 21:15:06  sshd[19011]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:06  sshd[19011]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:06  sshd[19011]: pam_succeed_if(sshd:auth): error retrieving information about user florida
Nov 11 21:15:08  sshd[19011]: Failed password for invalid user florida from 165.228.205.178 port 59246 ssh2
Nov 11 21:15:09  sshd[19012]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:11  sshd[19013]: Invalid user florida from 165.228.205.178
Nov 11 21:15:11  sshd[19014]: input_userauth_request: invalid user florida
Nov 11 21:15:11  sshd[19013]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:11  sshd[19013]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:11  sshd[19013]: pam_succeed_if(sshd:auth): error retrieving information about user florida
Nov 11 21:15:13  sshd[19013]: Failed password for invalid user florida from 165.228.205.178 port 59387 ssh2
Nov 11 21:15:13  sshd[19014]: Received disconnect from 165.228.205.178: 11: Bye Bye

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

3 Ответ от pavlar (12.11.2012 12:32:31 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

И вообще, как от такого рода атак лучше защититься , а то канал забивается и нельзя работать в интернете если логин в  ssh  каждые 2 сек. Хорошо если кто-то на месте а в субботу восресенье получается может затык серьезный произойти а извне из-за занятого атакой канала пробиться невозможно

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

4 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

В качестве своеобразного «костыля» можно поменять порт, на котором слушает sshd.

Был, был и весь вышел...

5 Ответ от pavlar (12.11.2012 12:48:05 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
Lupo Alberto пишет:

В качестве своеобразного «костыля» можно поменять порт, на котором слушает sshd.

Мы думали, но это нереально надо много перестраивать так как у нас распределенные выичиления на кластерах расположенных в разны странах. Слишком большое число узлов надо оповещать об изменении порта

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

6 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Гляньте ещё —
http://www.denyhosts.net
http://sshguard.sourceforge.net/
http://www.aczoom.com/blockhosts/

pavlar пишет:

но это нереально надо много перестраивать так как у нас распределенные выичиления на кластерах  по всей Европе Это 73 узлам надо писать сообщения что у нас не 22 порт а какой-то другой

То ли с помощью самописного скрипта, то ли чего-то вроде clusterssh нужно добавить в файл ~/.ssh/config на клиентских машинах секцию

Host ПРОИЗВОЛЬНОЕ_ИМЯ # Не обязательно
HostName IP_АДРЕС_ВАШЕГО_СЕРВЕРА
Port 33322 # Перенастроенный порт
Был, был и весь вышел...

7 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
Lupo Alberto пишет:

...то ли чего-то вроде clusterssh

...или parallel-ssh.

Был, был и весь вышел...