Скажи «Нет!» взломщику

Vladimir

Бонус: парочка скриптов для анализа логов.

1. Кто лез к нам по SSH:
   [-]

   View Code Bash
   #! /bin/sh
   
   if [ x$1 = x ]; then
       FILE=/var/log/auth.log
   else
       FILE=$1
   fi
   
   cat $FILE | grep " sshd\[" > /tmp/sshd.log
   # Левые пользователи
   cat /tmp/sshd.log | grep "Invalid user " | awk '{ print $10 }' | sort | uniq > /tmp/sshd_user
   # Неверные пароли для существующих пользователей
   cat /tmp/sshd.log | grep -E "Failed password for [a-zA-Z0-9_-]+ from " | awk '{ print $11 }' | sort | uniq > /tmp/sshd_pass
   # Кто нас проверял на наличие SSH
   cat /tmp/sshd.log | grep "Did not receive" | awk '{ print $12 }' | sort | uniq > /tmp/sshd_noident
   [ -s /tmp/sshd_user ] && echo "Intruders" && cat /tmp/sshd_user
   [ -s /tmp/sshd_pass ] && echo "Wrong password" && cat /tmp/sshd_pass
   [ -s /tmp/sshd_noident ] && echo "No identification string" && cat /tmp/sshd_noident
   rm -f /tmp/sshd.log /tmp/sshd_user /tmp/sshd_pass /tmp/sshd_name /tmp/sshd_noident
   exit 0
2. Кто лез к нам по FTP (для vsftpd):
   [-]

   View Code Bash
   #! /bin/sh
   
   if [ x$1 = x ]; then
       FILE=/var/log/vsftpd.log
   else
       FILE=$1
   fi
   
   # cat $FILE | grep "FAIL LOGIN: Client" | awk '{ print $12 }' | sed s/\"//g | sort | uniq
   cat $FILE | grep -E -o 'FAIL LOGIN: Client "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+"' | awk '{ print $4 }' | sed 's/"//g' | sort | uniq
   exit 0
3. Здесь вам не релеи (для Courier):
   [-]

   View Code Bash
   #! /bin/sh
   
   if [ x$1 = x ]; then
       FILE=/var/log/mail.err
   else
       FILE=$1
   fi
   
   cat $FILE | grep relay | awk '{ print $6 }' | sed s/error,relay=::ffff:// | sed s/,.*// | sort | uniq
   exit 0
4. Здесь вам не релеи (для Postfix):
   [-]

   View Code Bash
   #! /bin/sh
   
   if [ x$1 = x ]; then
       FILE=/var/log/mail.log
   else
       FILE=$1
   fi
   
   cat $FILE | grep -o -E '\[[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\]:' | grep -o -E '[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+' | sort | uniq
   exit 0

Надеюсь, кому-нибудь пригодится.

scripts.tar.bz2

Vladimir

Еще один красивый способ: