logcheck und ssh
Hallo,
mir gehen in den letzen Tagen die logcheck Meldugen zu den Botnetz
angriffen auf einen von mir betreuten SSH Server ziemlich auf die Nerven.
Spricht irgendetwas dagegen, die folgenden log Einträge von logcheck
ignorieren zu lassen?
^\w{3} [ :[:digit:]]{11} [._[:alnum:]-]+ sshd\[[[:digit:]]+\]:
\(pam_unix\) authentication failure; logname= uid=0 euid=0 tty=ssh
ruser= rhost=[^[:space:]]+([[:space:]]+user=[^[:space:]]+)?$
^\w{3} [ :[:digit:]]{11} [._[:alnum:]-]+ sshd\[[[:digit:]]+\]: error:
PAM: User not known to the underlying authentication module for
i(llegal|nvalid) user [^[:space:]]+ from
([:.[:xdigit:]]+|UNKNOWN|[-_.[:alnum:]]+)$
Ich meine ungültige Nutzer können sich am System sowieso nicht anmelden,
daher geht von solchen Attacken prinzipiell doch eine sehr geringe
Gefahr aus, sollten die Botnetze Attacken auf existierende Nutzer
fahren, schlägt logcheck ja wieder an, oder schätze ich da etwas
komplett falsch ein?
Gruß,
PJ
Reply to: