Hoe u alle mislukte SSH-inlogpogingen in Linux kunt vinden

Elke poging om in te loggen op de SSH-server wordt bijgehouden en vastgelegd in een logbestand door de rsyslog-daemon in Linux. Het meest basale mechanisme om alle mislukte SSH-inlogpogingen in Linux weer te geven, is een combinatie van het weergeven en filteren van de logbestanden met behulp van de cat-opdracht of de grep-opdracht.

Om een lijst met mislukte SSH-aanmeldingen in Linux weer te geven, voert u enkele van de opdrachten uit die in deze handleiding worden gepresenteerd. Zorg ervoor dat deze opdrachten worden uitgevoerd met rootrechten.

De eenvoudigste opdracht om alle mislukte SSH-aanmeldingen weer te geven, is de onderstaande opdracht.

grep "Failed password" /var/log/auth.log

Hetzelfde resultaat kan ook worden bereikt door het kat-commando te geven.

cat /var/log/auth.log | grep "Failed password"

Om extra informatie over de mislukte SSH-aanmeldingen weer te geven, geeft u de opdracht zoals weergegeven in het onderstaande voorbeeld.

egrep "Failed|Failure" /var/log/auth.log

In CentOS of RHEL worden de mislukte SSH-sessies vastgelegd in het bestand /var/log/secure. Voer de bovenstaande opdracht uit voor dit logbestand om mislukte SSH-aanmeldingen te identificeren.

egrep "Failed|Failure" /var/log/secure

Een licht gewijzigde versie van de bovenstaande opdracht om mislukte SSH-aanmeldingen in CentOS of RHEL weer te geven is als volgt.

grep "Failed" /var/log/secure
grep "authentication failure" /var/log/secure

Om een lijst weer te geven met alle IP-adressen die wel en niet hebben geprobeerd in te loggen op de SSH-server, samen met het aantal mislukte pogingen van elk IP-adres, geeft u de onderstaande opdracht op.

grep "Failed password" /var/log/auth.log | awk ‘{print $11}’ | uniq -c | sort -nr

Op nieuwere Linux-distributies kunt u het runtime-logbestand opvragen dat wordt bijgehouden door de Systemd-daemon via de opdracht journalctl. Om alle mislukte SSH-inlogpogingen weer te geven, moet u het resultaat doorsturen via het grep-filter, zoals geïllustreerd in de onderstaande opdrachtvoorbeelden.

journalctl _SYSTEMD_UNIT=ssh.service | egrep "Failed|Failure"
journalctl _SYSTEMD_UNIT=sshd.service | egrep "Failed|Failure"  #In RHEL, CentOS 

Vervang in CentOS of RHEL de SSH-daemon-eenheid door sshd.service, zoals weergegeven in de onderstaande opdrachtvoorbeelden.

journalctl _SYSTEMD_UNIT=sshd.service | grep "failure"
journalctl _SYSTEMD_UNIT=sshd.service | grep "Failed"

Nadat u de IP-adressen heeft geïdentificeerd die regelmatig uw SSH-server bereiken om in te loggen op het systeem met verdachte gebruikersaccounts of ongeldige gebruikersaccounts, moet u de firewallregels van uw systeem bijwerken om de mislukte SSH-pogingen te blokkeren. software, zoals fail2ban, om deze aanvallen te beheren.