Як отримати IP-адреси можливих ssh-зловмисників?

Я просто cat /var/log/auth.logввійшов і побачив, що є багато | grep "Failed password for"записів.

Однак можливі два типи записів - для дійсного / недійсного користувача. Це ускладнює мої спроби на | cutних.

Мені хотілося б створити список (текстовий файл) з IP-адресами можливих зловмисників та кількістю спроб для кожної IP-адреси. Чи є якийсь простий спосіб її створити?

Крім того, що стосується лише ssh: Які всі записи /var/log/auth.logслід враховувати при складанні списку можливих нападників?

Приклад мого "auth.log" із прихованими номерами:

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

Результат:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

Ви можете використовувати щось подібне:

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

Він схоплює рядок Failed password forі витягує ( -o) ip адресу. Він сортується і uniqпідраховує кількість випадків.

Тоді вихід буде виглядати приблизно так (з вашим прикладом як вхідним файлом):

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

Останній на виході спробував 6 разів.

Це може бути роздуте рішення, але я пропоную вам поглянути на встановлення чогось типу Fail2Ban

Він створений для такого типу реєстрації + додає бонус за можливість додавати (тимчасові) правила у ваш брандмауер, щоб блокувати повторюваних порушників. Не забудьте додати до списку власних ip, хоча мені вдалося кілька разів тимчасово заблокувати себе

Це вийшло справді добре для мене. (IP-адреси були змінені для захисту винних)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u