Почему не сработал fail2ban

12.11.2012 09:26 · отредактировано #284910

У меня fail2ban выставлен на бан после третьей неудачной попытки. Он работает нормально но один чел как то умудрился совершить явно более трех попыток . Не могу понять как .Может кто подскажет?

Показать

Nov 11 19:28:00 nat unix_chkpwd[16204]: password check failed for user (root)
Nov 11 19:28:00 sshd[16202]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net user=root
Nov 11 19:28:02 sshd[16202]: Failed password for root from 165.228.205.178 port 52305 ssh2
Nov 11 19:28:02 sshd[16203]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:05 sshd[16205]: Invalid user gvera from 165.228.205.178
Nov 11 19:28:05 sshd[16206]: input_userauth_request: invalid user gvera
Nov 11 19:28:05 sshd[16205]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:05 sshd[16205]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:05 sshd[16205]: pam_succeed_if(sshd:auth): error retrieving information about user gvera
Nov 11 19:28:06 sshd[16205]: Failed password for invalid user gvera from 165.228.205.178 port 52487 ssh2
Nov 11 19:28:07 sshd[16206]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:09 sshd[16207]: Invalid user vacaciones from 165.228.205.178
Nov 11 19:28:09 sshd[16208]: input_userauth_request: invalid user vacaciones
Nov 11 19:28:09 sshd[16207]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:09 sshd[16207]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:09 sshd[16207]: pam_succeed_if(sshd:auth): error retrieving information about user vacaciones
Nov 11 19:28:12 sshd[16207]: Failed password for invalid user vacaciones from 165.228.205.178 port 52654 ssh2
Nov 11 19:28:12 sshd[16208]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:15 sshd[16209]: Invalid user housingp from 165.228.205.178
Nov 11 19:28:15 sshd[16210]: input_userauth_request: invalid user housingp
Nov 11 19:28:15 sshd[16209]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:15 sshd[16209]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:15 sshd[16209]: pam_succeed_if(sshd:auth): error retrieving information about user housingp
Nov 11 19:28:16 sshd[16209]: Failed password for invalid user housingp from 165.228.205.178 port 52855 ssh2
Nov 11 19:28:17 sshd[16210]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:19 unix_chkpwd[16214]: password check failed for user (root)
Nov 11 19:28:19 sshd[16211]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net user=root
Nov 11 19:28:21 unix_chkpwd[16216]: password check failed for user (root)
Nov 11 19:28:21 sshd[16213]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=249-132.83-90.static-ip.oleane.fr user=root
Nov 11 19:28:21 sshd[16211]: Failed password for root from 165.228.205.178 port 53024 ssh2
Nov 11 19:28:22 sshd[16212]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:23 sshd[16213]: Failed password for root from 90.83.132.249 port 8873 ssh2
Nov 11 19:28:24 sshd[16215]: Connection closed by 90.83.132.249
Nov 11 19:28:24 unix_chkpwd[16219]: password check failed for user (root)
Nov 11 19:28:24 sshd[16217]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net user=root
Nov 11 19:28:26 sshd[16217]: Failed password for root from 165.228.205.178 port 53227 ssh2
Nov 11 19:28:27 sshd[16218]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:28:30 sshd[16220]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:28:30 sshd[16220]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:28:30 sshd[16220]: pam_succeed_if(sshd:auth): error retrieving information about user mjackson
Nov 11 19:28:30 sshd[16220]: Invalid user mjackson from 165.228.205.178
Nov 11 19:28:30 sshd[16221]: input_userauth_request: invalid user mjackson
Nov 11 19:28:32 sshd[16220]: Failed password for invalid user mjackson from 165.228.205.178 port 53423 ssh2
Nov 11 19:28:33 sshd[16221]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:02 unix_chkpwd[16226]: password check failed for user (root)
Nov 11 19:43:02 sshd[16224]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net user=root
Nov 11 19:43:05 sshd[16224]: Failed password for root from 165.228.205.178 port 53689 ssh2
Nov 11 19:43:05 sshd[16225]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:07 sshd[16227]: Invalid user stud from 165.228.205.178
Nov 11 19:43:07 sshd[16228]: input_userauth_request: invalid user stud
Nov 11 19:43:07 sshd[16227]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:43:07 sshd[16227]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:43:07 sshd[16227]: pam_succeed_if(sshd:auth): error retrieving information about user stud
Nov 11 19:43:10 sshd[16227]: Failed password for invalid user stud from 165.228.205.178 port 53898 ssh2
Nov 11 19:43:10 sshd[16228]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:13 sshd[16229]: Invalid user trash from 165.228.205.178
Nov 11 19:43:13 sshd[16230]: input_userauth_request: invalid user trash
Nov 11 19:43:13 sshd[16229]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 19:43:23 sshd[16233]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 19:43:23 sshd[16233]: pam_succeed_if(sshd:auth): error retrieving information about user william
Nov 11 19:43:24 sshd[16233]: Failed password for invalid user william from 165.228.205.178 port 54391 ssh2
Nov 11 19:43:25 sshd[16234]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 19:43:27 sshd[16235]: Invalid user stephanie from 165.228.205.178

12.11.2012 09:39 · отредактировано #284911

Через час он вообще похоже включил генератор паролей и только в 21 :55 обломился. Два с половиной часа непрерывно долбил с интервалом 2 сек Я только часть журнала привёл, пришлось весь лог удалить так как выччщать запариться можно Наверное хакеры научились сбрасывать fail2ban. Как говорится против лома нет приёма

Показать

Nov 11 21:14:56 sshd[19007]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:14:56 sshd[19007]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:14:56 sshd[19007]: pam_succeed_if(sshd:auth): error retrieving information about user free1
Nov 11 21:14:58 sshd[19007]: Failed password for invalid user free1 from 165.228.205.178 port 58931 ssh2
Nov 11 21:14:58 sshd[19008]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:01 sshd[19009]: Invalid user florida1 from 165.228.205.178
Nov 11 21:15:01 sshd[19010]: input_userauth_request: invalid user florida1
Nov 11 21:15:01 sshd[19009]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:01 sshd[19009]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:01 sshd[19009]: pam_succeed_if(sshd:auth): error retrieving information about user florida1
Nov 11 21:15:03 sshd[19009]: Failed password for invalid user florida1 from 165.228.205.178 port 59083 ssh2
Nov 11 21:15:04 sshd[19010]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:06 sshd[19011]: Invalid user florida from 165.228.205.178
Nov 11 21:15:06 sshd[19012]: input_userauth_request: invalid user florida
Nov 11 21:15:06 sshd[19011]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:06 sshd[19011]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:06 sshd[19011]: pam_succeed_if(sshd:auth): error retrieving information about user florida
Nov 11 21:15:08 sshd[19011]: Failed password for invalid user florida from 165.228.205.178 port 59246 ssh2
Nov 11 21:15:09 sshd[19012]: Received disconnect from 165.228.205.178: 11: Bye Bye
Nov 11 21:15:11 sshd[19013]: Invalid user florida from 165.228.205.178
Nov 11 21:15:11 sshd[19014]: input_userauth_request: invalid user florida
Nov 11 21:15:11 sshd[19013]: pam_unix(sshd:auth): check pass; user unknown
Nov 11 21:15:11 sshd[19013]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=voicep.lnk.telstra.net
Nov 11 21:15:11 sshd[19013]: pam_succeed_if(sshd:auth): error retrieving information about user florida
Nov 11 21:15:13 sshd[19013]: Failed password for invalid user florida from 165.228.205.178 port 59387 ssh2
Nov 11 21:15:13 sshd[19014]: Received disconnect from 165.228.205.178: 11: Bye Bye

12.11.2012 12:29 · отредактировано #284942

И вообще, как от такого рода атак лучше защититься , а то канал забивается и нельзя работать в интернете если логин в ssh каждые 2 сек. Хорошо если кто-то на месте а в субботу восресенье получается может затык серьезный произойти а извне из-за занятого атакой канала пробиться невозможно

12.11.2012 12:32 #284945

В качестве своеобразного «костыля» можно поменять порт, на котором слушает sshd.

12.11.2012 12:33 · отредактировано #284946

Lupo Alberto написал:
В качестве своеобразного «костыля» можно поменять порт, на котором слушает sshd.

Мы думали, но это нереально надо много перестраивать так как у нас распределенные выичиления на кластерах расположенных в разны странах. Слишком большое число узлов надо оповещать об изменении порта

12.11.2012 12:46 #284948

Гляньте ещё —
http://www.denyhosts.net
http://sshguard.sourceforge.net/
http://www.aczoom.com/blockhosts/

"pavlar" написал:
но это нереально надо много перестраивать так как у нас распределенные выичиления на кластерах по всей Европе Это 73 узлам надо писать сообщения что у нас не 22 порт а какой-то другой

То ли с помощью самописного скрипта, то ли чего-то вроде clusterssh нужно добавить в файл ~/.ssh/config на клиентских машинах секцию

text


Host ПРОИЗВОЛЬНОЕ_ИМЯ # Не обязательно
HostName IP_АДРЕС_ВАШЕГО_СЕРВЕРА
Port 33322 # Перенастроенный порт

12.11.2012 13:13 #284950

"Lupo Alberto" написал:
...то ли чего-то вроде clusterssh

...или parallel-ssh.