SSH日志分析

带脚镣跳舞

sshd(pam_unix)[1108]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=216.X.X.X  user=root

sshd(pam_unix)[31008]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=124.X.X.X


在SSH登陆日志中出现了一些暴力破解的日志,对这些日志能看个大概,不过有一些不明白
1 方括号里的数字代表什么意思
2 logname=  UID EUID代表了登陆名.用户ID 程序运行的ID?  
3 上面一条有user=root  下面一条没有 是不是可以说猜解的用户名root  下一条没有用用户名字猜解
4 如果对方的设备的SSH是SSH-1.99-Cisco-1.25  那是不是一定就能判断对方一定CISCO设备了
5 linux /var/log/secure 记录SSH日志 是及时记录还是延迟记录,我昨天测试下VM里的LINUX  我故意错误登陆,结果什么   日志也没看到 ,郁闷

emmoblin

日志的分析估计只有开发人员才能看懂。

之所以没有显示可能是因为还不构成危险。得满足一定条件才能显示出来

jerrywjl

这个比较简单的方法，看/var/log/secure，
如果有大量不明的ip尝试发起连接，并且连接过程中大量的认证失败的信息，并且发起的频率非常规律。
基本上就有人在打你主意了。

unixlinuxsys

都是看/var/log/secure，

marsaber

放在Internet上，被猜密码是正常的。

molecar

修改一下ssh的默认端口.

gamester88

装个DenyHosts
修改ssh端口，或者用tcpwapper只允许内网连接

chenyx

用key认证用户,ssh配置PasswordAuthentication no

guoyanhong11

诚招Linux系统工程师，简历请发guoyanhong@ceopen.cn

gamester88

楼上去
linux人才交流或IT职业生涯发帖