You are not logged in.

Fehlerhafte ssh-logins melden

Dear visitor, welcome to Forum64. If this is your first visit here, please read the Help. It explains in detail how this page works. To use all features of this page, you should consider registering. Please use the registration form, to register here or read more information about the registration process. If you are already registered, please login here.

wolfshade

code crusher

  • "wolfshade" is male
  • »wolfshade« is a verified user
  • "wolfshade" started this thread

Posts: 655

Date of registration: Oct 27th 2008

Location: NDS

  • Send private message

member since 54 month member since 54 month member since 54 month

1

Friday, September 25th 2009, 1:33pm

Fehlerhafte ssh-logins melden

Hallo,

ich möchte, eine Benachrichtigung per mail verschicken, wenn es einen fehlerhaften ssh-login Versuch gab. Es reicht, wenn einmal pro Tag geschaut wird, die mail darf aber nur kommen, wenn tatsächlich ein fehlerhafter Versuch vorlag.

Ich habs mit logdigest versucht, aber der schickt mir jeden Tag eine Mail, egal ob Loginversuch oder nicht.

Gibts da ein anderes tool für oder muss ich mir selber n Shellscript schreiben und das per cron laufen lassen? Da hätte ich das Problem, zu unterscheiden, ob der Versuch neu ist, oder ggf. vom Vortag (bei langen Logs).
A1200 HD - 4 GB HDD(CF) - ACA1230/28 64MB
A600 - 2 GB HDD(CF) - 2MB Chip/8MB Fast RAM
C64 I/II/G - SD2IEC - FC III
Wenn ich meinen Commodore einschalte ist es, als ob ich eine Zeitmaschine starte...

skoe

macht komische Sachen

  • "skoe" is male
  • »skoe« is a verified user

Posts: 2,034

Date of registration: Nov 12th 2003

Location: Berlin

  • Send private message

member since 108 month member since 108 month member since 108 month member since 108 month member since 108 month member since 108 month

2

Friday, September 25th 2009, 1:44pm

Du kannst doch die Log-Datei einmal am Tag durchparsen und danach mit mv wegschieben. Darf aber nicht mit logrotate kollidieren.

Oder vielleicht besser: wegkopieren und beim nächsten mal die Datei nicht direkt parsen, sondern die Ausgabe eines diff.

Nur ein paar Gedankenfetzen zur Inspiration...
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Vergiss BASIC und lern C! C lernen mit cc65 und C64
Bau Dir ein eigenes Modul! EasyFlash

Sammler

Daten Vampir

  • "Sammler" is male

Posts: 1,549

Date of registration: Dec 8th 2004

Location: Niedersachsen

  • Send private message

member since 90 month member since 90 month member since 90 month member since 90 month member since 90 month

3

Friday, September 25th 2009, 1:48pm

Musst mal gucken, ob diverse Logserver das können.

Auf die schnelle fällt mir da der Nagios ein...

Da kannst Du auch Deine messages hin schicken. Musst dann halt einstellen, was er bei welchem Ereignis tun soll ;)

sauhund

ist falsch abgebogen

  • "sauhund" is male

Posts: 20,339

Date of registration: Jul 16th 2005

Location: zuhause

  • Send private message

member since 90 month member since 90 month member since 90 month member since 90 month member since 90 month

4

Friday, September 25th 2009, 1:48pm

du willst bei *jedem* fehlerhaften login eine mail? das würde ich mir aber überlegen, ich hab hier an guten tagen durchaus mal ein paar hundert davon, oder auch mehr wenn wieder irgendein kind einen scanner gefunden hat :)

mmmh, irgendwie erinner ich mich da aber dunkel das man das über syslogd konfigurieren kann.... aber keine ahnung wie
http://www.hitmen-console.org http://magicdisk.untergrund.net
Die Furcht vor der freimütigen Antwort kann auch robuste Charaktere befallen.

DMC

Administrator

  • "DMC" is male

Posts: 3,610

Date of registration: Mar 10th 2005

Location: Dülmen

  • Send private message

member since 90 month member since 90 month member since 90 month member since 90 month member since 90 month

5

Friday, September 25th 2009, 1:50pm

Mach doch

grep “authentication failure” /var/log/messages | sed -n -e “s/.*rhost=\([^ ]*\).*/\1/p” | sort | uniq -c

einmal am Tag per Cron und lass Dir die Ausgabe als Mail zuschicken.

Wie sauhund schon sagte, würde ich mir das auch überlegen, ob ich definitiv jeden fehlerhaften Login-Attempt als Mail haben wollte. Denn wenn es hoch her geht kannst Du Dich vor Mails kaum noch retten.

Unseen

Hätte gerne 'n Virtex 7 ;)

  • "Unseen" is male
  • »Unseen« is a verified user

Posts: 4,565

Date of registration: Jun 16th 2007

Location: Debara Hamtar

  • Send private message

member since 72 month member since 72 month member since 72 month member since 72 month

6

Friday, September 25th 2009, 1:52pm

Im Prinzip willst du "logcheck", aber das nicht einmal stündlich sondern nur einmal täglich aufrufen.

Quellcode

 
1
2
3

10 x=rnd(-1963):fori=1to81:y=rnd(1):next
20 forj=1to5:printchr$(rnd(1)*16+70);:next
30 printint(rnd(1)*328)-217

sd2iec Homepage

wolfshade

code crusher

  • "wolfshade" is male
  • »wolfshade« is a verified user
  • "wolfshade" started this thread

Posts: 655

Date of registration: Oct 27th 2008

Location: NDS

  • Send private message

member since 54 month member since 54 month member since 54 month

7

Friday, September 25th 2009, 1:56pm

Danke, ihr seid echt schnell, Jungs.

@skoe: Nee, nicht ganze logs kopieren/verschieben.

@Sammler: Kein Nagios, einfach ne Mail an den Admin.

@sauhund: Nicht unbedingt bei jedem Versuch, einmal am Tag mit allen Versuchen seit dem letzten mal.

Beim sshd gibts ne möglichkeit das in eine andere log-facility schreiben zu lassen. Da muss ich mir mal eine neue im syslogd basteln. Und dann hab ich ein Logfile nur für den sshd. das werde ich dann parsen und danach wegschmeissen (oder archivieren).
So müsste es gehen.
A1200 HD - 4 GB HDD(CF) - ACA1230/28 64MB
A600 - 2 GB HDD(CF) - 2MB Chip/8MB Fast RAM
C64 I/II/G - SD2IEC - FC III
Wenn ich meinen Commodore einschalte ist es, als ob ich eine Zeitmaschine starte...

skoe

macht komische Sachen

  • "skoe" is male
  • »skoe« is a verified user

Posts: 2,034

Date of registration: Nov 12th 2003

Location: Berlin

  • Send private message

member since 108 month member since 108 month member since 108 month member since 108 month member since 108 month member since 108 month

8

Friday, September 25th 2009, 2:12pm

Na dann mach Dich nicht auf viele, aber auf lange Mails gefasst: Wenn der Server im Internet steht und wiedermal ein paar Scriptkiddies eine dictionary-attacke fahren, kommen u.U. schon einige 10000 Versuche am Tag zusammen.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Vergiss BASIC und lern C! C lernen mit cc65 und C64
Bau Dir ein eigenes Modul! EasyFlash

wolfshade

code crusher

  • "wolfshade" is male
  • »wolfshade« is a verified user
  • "wolfshade" started this thread

Posts: 655

Date of registration: Oct 27th 2008

Location: NDS

  • Send private message

member since 54 month member since 54 month member since 54 month

9

Friday, September 25th 2009, 2:30pm

Ich werd mal logcheck probieren. Ansonsten bastel ich was.

@DMC: Da bekomme ich trotzdem dieVersuche von Gestern und vorgestern mit.

@skoe: Hehe, ich will das nicht haben. Auf den von mir betreuten Servern, die im Netz stehen, kann man sich nur mit nem Zertifikat einloggen. :-)
A1200 HD - 4 GB HDD(CF) - ACA1230/28 64MB
A600 - 2 GB HDD(CF) - 2MB Chip/8MB Fast RAM
C64 I/II/G - SD2IEC - FC III
Wenn ich meinen Commodore einschalte ist es, als ob ich eine Zeitmaschine starte...

Bogogil

Kiwi Züchter

  • "Bogogil" is male

Posts: 497

Date of registration: Jul 27th 2009

Location: Lüdenscheid

  • Send private message

member since 36 month member since 36 month

10

Friday, September 25th 2009, 2:33pm

Oder halt per cron.daily logwatch aufrufen. Das leistet bei mir gute Dienste. :)

wolfshade

code crusher

  • "wolfshade" is male
  • »wolfshade« is a verified user
  • "wolfshade" started this thread

Posts: 655

Date of registration: Oct 27th 2008

Location: NDS

  • Send private message

member since 54 month member since 54 month member since 54 month

11

Friday, October 9th 2009, 12:58pm

Sorry, bin nicht dazu gekommen, war kein dringendes Problem, aber ich wusste, es kommt bald.
Daher hier nochmal ein feedback. The winner is: logwatch :-)

Thx 2 all und speziell an Bogogil, mit den richtigen Parametern aufgerufen, macht logwatch genau das, was ich suchte.

(Ich bin sicher logcheck hätte auch geholfen, aber logwatch hab ich zuerst ausprobiert :) )
A1200 HD - 4 GB HDD(CF) - ACA1230/28 64MB
A600 - 2 GB HDD(CF) - 2MB Chip/8MB Fast RAM
C64 I/II/G - SD2IEC - FC III
Wenn ich meinen Commodore einschalte ist es, als ob ich eine Zeitmaschine starte...