Как получить IP-адреса возможных злоумышленников SSH?

Я просто cat /var/log/auth.logзахожу и вижу, что | grep "Failed password for"записей много .

Однако есть два возможных типа записи - для действительного / недействительного пользователя. Это усложняет мои попытки к | cutним.

Я хотел бы видеть создание списка (текстового файла) с IP-адресами возможных злоумышленников и количеством попыток для каждого IP-адреса. Есть ли простой способ создать его?

Кроме того, касательно только ssh: что все записи /var/log/auth.logя должен учитывать при составлении списка возможных злоумышленников?

Пример моего 'auth.log' со скрытыми номерами:

cat /var/log/auth.log | grep "Failed password for" | sed 's/[0-9]/1/g' | sort -u | tail

Результат:

Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user ucpss from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user vijay from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user webalizer from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user xapolicymgr from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user yarn from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zookeeper from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for invalid user zt from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for mysql from 111.111.11.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.11.111.111 port 11111 ssh1
Mar 11 11:11:11 vm11111 sshd[111]: Failed password for root from 111.111.111.1 port 11111 ssh1

Вы можете использовать что-то вроде этого:

grep "Failed password for" /var/log/auth.log | grep -Po "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" \
| sort | uniq -c

Он ищет строку Failed password forи извлекает ( -o) IP-адрес. Он сортируется и uniqподсчитывает количество случаев.

Вывод будет выглядеть следующим образом (с вашим примером в качестве входного файла):

  1 111.111.111.1
  3 111.11.111.111
  6 111.111.11.111

Последний в выводе пробовал 6 раз.

Это может быть раздутым решением, но я предлагаю вам взглянуть на установку что-то вроде Fail2Ban

Это сделано для такого рода журналирования + добавляет бонус в виде возможности добавлять (временные) правила в ваш брандмауэр, чтобы блокировать повторяющихся нарушителей. Обязательно внесите в белый список свои собственные IP-адреса, хотя мне несколько раз удавалось временно заблокировать себя

Это сработало очень хорошо для меня. (IP-адреса были изменены, чтобы защитить виновных)

$ awk '/Failed/ {x[$(NF-3)]++} END {for (i in x){printf "%3d %s\n", x[i], i}}' /var/log/auth.log | sort -nr
 65 10.0.0.1
 14 10.0.0.2
  4 10.0.0.3
  1 10.0.0.4

grep "Failed password for" /var/log/auth.log |
    awk -F"from" {'print $2'} |
    awk {'print $1'} |
    sort -u