Странные записи в /log/secure

Обычно у меня в этом логе записывается статистика подключения-отключения по ssh т е. сначала информация о подключении а потом об отключении. Но со вчерашнего дня некоторые ip только отключаются а сообщений об их подключении не было . Как такое может быть ?
Например у меня по слеедующему ip у меня есть сообщение только об отключении . Однако в hosts.deny этого адреса нет и в jail fail2ban тоже а для root соединение по ssh запрещено

Nov  9 04:22:30  sshd[14982]: Connection closed by 114.255.20.157

а может чел с ай пи 114.255.20.157 хотел подключится, но ввёл не правильные логин/пароль? Попробуй сам подключится с неправильными данными, что писать будет?

DarkDigger написал:

а может чел с ай пи 114.255.20.157 хотел подключится, но ввёл не правильные логин/пароль? Попробуй сам подключится с неправильными данными, что писать будет?

Если чел пытается брутфорсить там идет сообщения о неправилно ввееденном пароле root или другого пароля или неправильного имени и по третьей неудачной попытке fail2ban банит этот ip
Но в случае приведенном выше не было даже попыток брутфорса . Здесь вроде как закрытие сессии непонятно как открытой. А если например ip занеесен в hosts.deny то сразу выдается сообщение refused connection. А здесь closed ( вроде как было opened) да и этот ip не занесен в hosts.deny

А типичный протокол брутфорса такой

Nov 9 02:26:38 sshd[14924]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:38 unix_chkpwd[14926]: password check failed for user (root)
Nov 9 02:26:38 sshd[14924]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4 user=root
Nov 9 02:26:40 sshd[14924]: Failed password for root from 201.236.80.4 port 52504 ssh2
Nov 9 02:26:40 sshd[14925]: Received disconnect from 201.236.80.4: 11: Bye Bye
Nov 9 02:26:42 sshd[14927]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:42 sshd[14927]: Invalid user db2inst1 from 201.236.80.4
Nov 9 02:26:42 sshd[14928]: input_userauth_request: invalid user db2inst1
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): check pass; user unknown
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4
Nov 9 02:26:42 sshd[14927]: pam_succeed_if(sshd:auth): error retrieving information about user db2inst1
Nov 9 02:26:43 sshd[14927]: Failed password for invalid user db2inst1 from 201.236.80.4 port 54247 ssh2
Nov 9 02:26:44 sshd[14928]: Received disconnect from 201.236.80.4: 11: Bye Bye

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

yars написал:

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

Это из области фантастики. Два адреса с таким сообщением из Китая. Могли зайти только по ssh. Вход для root по ssh закрыт.

Увеличь уровень вывода отладочной информации SSH.

Не забывайте про уязвимости, все же вы имеете дело с хакерами, для них no root privileges в sshd_config может оказаться не проблемой, а так, устранимой помехой. Но да, я не представляю, как это можно обойти, но наверняка возможно.

Бот постучался или кто то сканером прошелся. и уже сразу атака? Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать :)

А может это было вроде такого сообщения но не всё записалось в логи а лишь последняя строка?

Nov  9 08:54:14 natt sshd[15065]: reverse mapping checking getaddrinfo for 178.111.165.220.broad.sm.yn.dynamic.163data.com.cn [220.165.111.178] failed - POSSIBLE BREAK$
Nov  9 08:54:14 nat unix_chkpwd[15067]: password check failed for user (root)
Nov  9 08:54:14 nat sshd[15065]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=220.165.111.178  user=root
Nov  9 08:54:17 nat sshd[15066]: Connection closed by 220.165.111.178

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение после первой попытки чтобы потом часа через 2 опять повторить?

А этот ip уже засветился и в других местах
http://www.abuseipdb.com/report-history/114.255.20.157

Я всё таки думаю что это была неудачная попытка брутфорса и почему-то полностью логи не оформились , потому что сообщение о нормальном завершении работы несколько другое

Nov  9 09:39:53  sshd[17909]: pam_unix(sshd:session): session closed for user...

а там было

Nov  9 04:22:30  sshd[14982]: Connection closed by 114.255.20.157

"pavlar" написал:

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение после первой попытки чтобы потом часа через 2 опять повторить?

"i2ks" написал:

Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать

Тут и сказать нечего... :)

zenon написал:

Тут и сказать нечего... :)

То есть, у нас необоснованная мания преследования? :)

yars написал:

[quote=zenon]Тут и сказать нечего... :)

То есть, у нас необоснованная мания преследования? :)[/quote]
Как ты себе представляешь брутфорс в 3 попытки/час?

Никак - смысла нет... Долго. Но, я ведь о другом говорил. Хотя, если из области фантастики... :)

zenon написал:

[quote=yars][quote=zenon]Тут и сказать нечего... :)

То есть, у нас необоснованная мания преследования? :)[/quote]
Как ты себе представляешь брутфорс в 3 попытки/час?[/quote]
Очень просто. Один тайваньский айпи начал как из пулемета ломитьсяпо ssh (попытка логиниться через каждые 2 сек) У меня за сутки лог так наполнился что ееле вычстил его . Но это не самое страшное. Он так забивал канал что нельзя было в интернет выйти.Я его поставил в hosts.deny/. Так он ломился каждые 3 часа и получал refused. Я ради интереса убрал его из hosts.deny ,так при первой же попытке через три часа ,не получив refused, опять начал беспрерывно строчить с интервалом 2 сек (неудачная попытка логина - он сразу делает closed и повторяет попытку ).Так что пришлось обращаться к провайдеру чтобы тот перекрыл