Feigling Geschrieben 18. März 2007 Geschrieben 18. März 2007 Hiho Leute, Es geht um folgendes: Da meine Logfiles immo von externen fehlgeschlagenen Logins überflutet werden würde ich gerne wissen ob es eine Möglichkeit gibt das wenn sagen wir innerhalb von 20 sekunden 5 fehlerhafte Logins protokolliert werden ich eine Mail bekomme. Das OS ist Debian Danke für eure Antworten Mfg Feigling Zitieren
faken Geschrieben 18. März 2007 Geschrieben 18. März 2007 du könntest du ein shell script schreiben, welches die logs mit awk + sed durchgeht und dir bei einem fehlerhaften loginversuch eine email per sendmail schickt. Zitieren
Whatever Geschrieben 19. März 2007 Geschrieben 19. März 2007 Du könntest fail2ban benutzen. Basiert auf Python und kann neben dem auth.log noch diverse weitere Logfiles auswerten (apache, mail, usw.). Wenn ein (einstellbares) Limit in einer bestimmten Zeit an fehlerhaften Logins von der selben Adresse kommt, dann sperrt fail2ban den Zugriff von dieser Adresse mittels iptables. Die ankommenden Pakete werden dann gedropt (d.h. der Angreifer bekommt nichtmal ein Connection refused, sondern läuft in ein Timeout). Das ganze macht Bruteforce ziemlich sinnlos. Nach einer eingestellten Zeit wird sperre dann wieder aufgehoben. Benutze ich auf meinem Server auch und es funktioniert hervorragend. Und: Es kann dir auch eine Mail schicken Zitieren
Feigling Geschrieben 22. März 2007 Autor Geschrieben 22. März 2007 Jaa das ist genau das was ich gesucht hab Danke sehr :) :) Zitieren
Feigling Geschrieben 25. März 2007 Autor Geschrieben 25. März 2007 Du könntest fail2ban benutzen. Basiert auf Python und kann neben dem auth.log noch diverse weitere Logfiles auswerten (apache, mail, usw.). Wenn ein (einstellbares) Limit in einer bestimmten Zeit an fehlerhaften Logins von der selben Adresse kommt, dann sperrt fail2ban den Zugriff von dieser Adresse mittels iptables. Die ankommenden Pakete werden dann gedropt (d.h. der Angreifer bekommt nichtmal ein Connection refused, sondern läuft in ein Timeout). Das ganze macht Bruteforce ziemlich sinnlos. Nach einer eingestellten Zeit wird sperre dann wieder aufgehoben. Benutze ich auf meinem Server auch und es funktioniert hervorragend. Und: Es kann dir auch eine Mail schicken Sorry für Doppelpost aber ich hab das Tool jetzt im Einsatz und es hat beim ersten Angriff gleich versagt. Ich hab die Vermutung das das Tool nur anspringt wenn in den Log files "Possible Break-in Attempt" steht. Wenn das nicht hinten dran steht reagiert das Tool gar nicht. Hab heute Nacht wieder nen Angriff gehabt der 2 Stunden ging und nicht einmal hat Linux in den Logfiles "Possible Break-in Attempt" geschrieben. Ist das normal oder hab ich was falsch eingestellt in dem Tool ??? Zitieren
Whatever Geschrieben 3. April 2007 Geschrieben 3. April 2007 Ist es richtig konfiguriert? Läuft es? Zitieren
Feigling Geschrieben 3. April 2007 Autor Geschrieben 3. April 2007 Wenn es laufen würde hätte ich schon noch nen Beitrag und die Lösung geschrieben Mfg Feigling Zitieren
Whatever Geschrieben 3. April 2007 Geschrieben 3. April 2007 Ich meine ob du fail2ban gestartet hast und der Prozess läuft... Zitieren
Feigling Geschrieben 3. April 2007 Autor Geschrieben 3. April 2007 Hat sich erledigt auf einmal geht alles Die Welt ist komisch ^^ Zitieren
Empfohlene Beiträge
Dein Kommentar
Du kannst jetzt schreiben und Dich später registrieren. Wenn Du ein Konto hast, melde Dich jetzt an, um unter Deinem Benutzernamen zu schreiben.