linux主機ssh異地登陸和暴力破解的檢測

保護linux系統的安全，首先考慮的就是ssh登陸的安全

 

日誌來源以下：

/var/log/secure（centos）

/var/log/auth.log（ubuntu）

其實日誌名是能夠配置的，不過通常沒人改，配置方法以下：

/etc/ssh/sshd_conf

SyslogFacility    AUTHPRIV

/etc/syslog.conf

authpriv.*    /var/log/secure

重點關注的日誌內容以下，這裏記載了客戶端鏈接的信息：

authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.1.100  user=root

Accepted password for root from 192.168.1.100 port 26333 ssh2

Accepted publickey for root from 192.168.1.100 port 27743 ssh2

經過特定的策略分析日誌，就能夠發現暴力破解和異地登陸的狀況

對於暴力破解，能夠把攻擊者的IP寫在以下文件：

/etc/hosts.deny

格式爲：

sshd: 192.168.1.100