Fail2Ban লগ ফাইলে 'পাওয়া' কী?

Question

আমার /var/log/fail2ban.log এ নিম্নলিখিত মত একাধিক উদাহরণ রয়েছে:

2015-12-27 14:31:21,949 fail2ban.filter         [1020]: INFO    [sshd] Found ###.###.###.###

(যেখানে # আইপি অ্যাড্রেসগুলির বৈচিত্র্যের বিকল্প রয়েছে))

এই লগ এন্ট্রিটির অর্থ কী? বিশেষত, কী Foundবোঝায়?

লগ ফাইলের ব্যাখ্যার জন্য আমি এখানে এবং http://www.fail2ban.org অনুসন্ধান করেছি । যদি আমি এই প্রশ্নের কোনও স্পষ্ট তথ্য উত্স মিস করে থাকি তবে আমার ক্ষমা প্রার্থনা করুন - দয়া করে আমাকে সঠিক দিকে নির্দেশ করুন।

এখানে /etc/fail2ban/filter.d/sshd.config এ FailRegex এর কনফিগারেশন রয়েছে:

failregex = ^%(__prefix_line)s(?:error: PAM: )?[aA]uthentication (?:failure|error) for .* from <HOST>( via \S+)?\s*$
        ^%(__prefix_line)s(?:error: PAM: )?User not known to the underlying authentication module for .* from <HOST>\s*$
        ^%(__prefix_line)sFailed \S+ for .*? from <HOST>(?: port \d*)?(?: ssh\d*)?(: (ruser .*|(\S+ ID \S+ \(serial \d+\) CA )?\S+ %(__md5hex)s(,$
        ^%(__prefix_line)sROOT LOGIN REFUSED.* FROM <HOST>\s*$
        ^%(__prefix_line)s[iI](?:llegal|nvalid) user .* from <HOST>\s*$
        ^%(__prefix_line)sUser .+ from <HOST> not allowed because not listed in AllowUsers\s*$
        ^%(__prefix_line)sUser .+ from <HOST> not allowed because listed in DenyUsers\s*$
        ^%(__prefix_line)sUser .+ from <HOST> not allowed because not in any group\s*$
        ^%(__prefix_line)srefused connect from \S+ \(<HOST>\)\s*$
        ^%(__prefix_line)sReceived disconnect from <HOST>: 3: \S+: Auth fail$
        ^%(__prefix_line)sUser .+ from <HOST> not allowed because a group is listed in DenyGroups\s*$
        ^%(__prefix_line)sUser .+ from <HOST> not allowed because none of user's groups are listed in AllowGroups\s*$
        ^(?P<__prefix>%(__prefix_line)s)User .+ not allowed because account is locked<SKIPLINES>(?P=__prefix)(?:error: )?Received disconnect from$
        ^(?P<__prefix>%(__prefix_line)s)Disconnecting: Too many authentication failures for .+? \[preauth\]<SKIPLINES>(?P=__prefix)(?:error: )?Co$
        ^(?P<__prefix>%(__prefix_line)s)Connection from <HOST> port \d+(?: on \S+ port \d+)?<SKIPLINES>(?P=__prefix)Disconnecting: Too many authe$
        ^%(__prefix_line)spam_unix\(sshd:auth\):\s+authentication failure;\s*logname=\S*\s*uid=\d*\s*euid=\d*\s*tty=\S*\s*ruser=\S*\s*rhost=<HOST$

Comments

ফিল্টার.ডি / এসএসডি কোডএফ-এ, আপনার ফেইলরেজেক্স কী? ব্যর্থ 2ban.org/wiki/index.php/MANUAL_0_8# ফিল্টার

— ফ্রাঙ্ক থমাস

(আসল পোস্টে ফেইলরেজেক্স যুক্ত হয়েছে))

— ন্যাম্যাক্স

আমার লগ 10 থেকে 1 অনুসারে এসএসএস হ্যাকারদের প্রথম পছন্দ। সম্ভবত এটি আপনার সিস্টেমে সংযুক্ত হতে পারে। আমার কাছে কেবল এসএসএসের জন্য 10,000+ আইপি রয়েছে।

— সাইবারনার্ড

ফিল্টার.আর / sshd.conf এর অন্য কোন রেগেক্স নিদর্শনগুলির মধ্যে কি 'পাওয়া' শব্দটি রয়েছে?

— ফ্রাঙ্ক থমাস

কৌতূহলজনকভাবে, স্ট্রিং 'ফাইন্ড' sshd.conf বা / etc / ফেল2ban এর মধ্যে কোনও ফাইলে প্রদর্শিত হবে না। @cybernard আমি অবশ্যই সম্মত; সমস্যাটি হ'ল ব্যর্থ 2ban ইতিমধ্যে এসএসএস প্রচেষ্টা নিষিদ্ধ করছে এবং পাসওয়ার্ড-ভিত্তিক এসএসএস সিস্টেমে অক্ষম করা আছে (কেবলমাত্র কী-ভিত্তিক এসএসএস)।

— এনএমএক্স

Answer 1

Found xxx.xxx.xxx.xxxবার্তা মানে, যে fail2ban ফিল্টার একটি লাইন পাওয়া ম্যাচ দেওয়া ফিল্টার / জেল লগ ফাইল মধ্যে failregex পারে।

উদাহরণস্বরূপ যদি লগটি দেখায়

2016-03-16 15:35:51,527 fail2ban.filter         [1986]: INFO    [sshd] Found 1.2.3.4
2016-03-16 15:35:51,817 fail2ban.filter         [1986]: INFO    [sshd] Found 1.2.3.4
2016-03-16 15:35:52,537 fail2ban.actions        [1986]: NOTICE  [sshd] Ban 1.2.3.4

দুটি প্রথম Foundঅর্থ, এই আইপি ঠিকানাটি 1.2.3.4 প্রদত্ত এসএসডিডি লগটিতে (যেমন /var/log/auth.log) 2 বার পাওয়া গিয়েছিল এবং লগফাইলে প্রবেশ failregexফিল্টারটির সাথে মেলে/etc/fail2ban/filter.d/sshd.conf

যেমন আমি 2 ব্যর্থ এসএসএস-এম্পটিএমটিপিএসের পরে নিষেধাজ্ঞার কনফিগার করেছি, তৃতীয় লাইনটি দেখায় যে আইপি 1.2.3.4 নিষিদ্ধ করা হয়েছে সেই 2 টি ঘটনার পরে।

আমি এটি সম্পর্কে কীভাবে জানতে পারি:

ব্যর্থ 2ban এর অজগর উত্সগুলিতে (ডিবিয়ান ভাষায় এটি রয়েছে /usr/lib/python3/dist-packages/fail2ban/) এটি করুন:

cd /usr/lib/python3/dist-packages/fail2ban/

grep -r "\[%s\] Found" *

937 লাইনে পাইথন ফাইল "সার্ভার / ফিল্টার.পি" তে আপনি সম্পর্কিত লগ ফাংশনটি খুঁজে পাবেন:

def processLineAndAdd(self, line, date=None):
  [..]
  logSys.info("[%s] Found %s" % (self.jail.name, ip))
  [..]

Comments

আমি জানি এই উত্তরটি পোস্ট হওয়ার পরে অনেক দিন হয়েছে, তবে আমি আবার এটিতে ফিরে এসেছি। এটি যেমন একটি সুন্দর, সম্পূর্ণ প্রতিক্রিয়া - ধন্যবাদ।

— nmax