πΎ Archived View for chaosadmins.de βΊ blog βΊ 2019 βΊ 05 βΊ tpo10_ssh_user.gmi captured on 2024-08-31 at 12:18:47. Gemini links have been rewritten to link to archived content
β¬ οΈ Previous capture (2021-11-30)
-=-=-=-=-=-=-
Wer SSH auf einem Server laufen lΓ€sst wird frΓΌher oder spΓ€ter auch mal βOpferβ einer Brute-Force-Attacke. Dem kann man nicht entgehen, ist halt so. Um ein wenig Ruhe zu haben verbiegen einige Leute den SSH Port (22) oder lassen Klassiker wie Fail2Ban laufen. Letzteres mache ich und bin bisher immer damit gut gefahren. Es hΓ€lt ziemlich gut lΓ€stige Angriffsversuche ab und blockiert weitere fΓΌr eine bestimmte Zeit. Irgendwann habe ich mich mal gefragt woher die Angriffe kommen (meistens aus China oder Russland) und welcher Benutzername verwendet wird.
Das lΓ€sst sich mit ein bisschen Shellmagie leicht rausfinden. Der Befehl unten sucht nach dem Pattern βFailed password forβ, sortiert und zΓ€hlt ein bisschen rum und spuckt das Ergebnis schΓΆn ΓΌbersichtlich aus (Hier die Version fΓΌr Debian. Ggf. musst Du das bei dir in secure.log Γ€ndern).
$awk '/Failed password for/ ' /var/log/auth.log | sed 's/.* \([[:print:]]\+\) from .*/ \1 /g ' | sort | uniq -c | sort -n -k1
Logrotate dreht bei mir alle 7 Tage die Logfiles auf Links, daher kommen jetzt hier die Top 10 der meistbenutzen Usernamen der letzten 7 Tage
βββββββββ¦ββββββββββββββββββ¦βββββββββββββββ β Platz β Wie oft gezΓ€hlt β Benutzername β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 10 β 131 β jboss β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 9 β 146 β postgres β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 8 β 149 β oracle β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 7 β 151 β ftpuser β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 6 β 156 β test β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 5 β 163 β user β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 4 β 169 β ubuntu β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 3 β 1135 β pi β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 2 β 1364 β admin β β ββββββββ¬ββββββββββββββββββ¬βββββββββββββββ£ β 1 β 2565 β root β βββββββββ©ββββββββββββββββββ©βββββββββββββββ