Newsgroup: it.comp.os.linux.iniziare
Titolo: ssh e logwatch

Mi trovo logwatch sempre pieno di righe di questo genere:
SSH: Server;Ltype: Version;Remote: 192.162.136.151-44070;Protocol: 
2.0;Client: libssh-0.1 : 1 time(s)
SSH: Server;Ltype: Authname;Remote: 202.21.111.99-49011;Name: root 
[preauth] : 1 time(s)
SSH: Server;Ltype: Authname;Remote: 202.21.111.99-34251;Name: root 
[preauth] : 1 time(s)
SSH: Server;Ltype: Kex;Remote: 192.162.136.151-52851;Enc: 
aes128-cbc;MAC: hmac-sha1;Comp: none [preauth] : 1 time(s)
 
Ma non riesco a capire cosa vogliano dire, né come fare a spiegare a 
logwatch cosa farsene: me le mette sotto unmatched e morta lì.
Consigli?
Thx
M
-- 
I fatti mi cosano

 M
 


Grazie, ma so già che sono righe che fanno parte di quell'incessante 
rumore di fondo che c'è su internet (ho il file hosts che continua a 
diventare sempre più grande, mi va anche bene che dentro ne ho solo ~400)
 
La domanda in realtà  era principalmente su come istruire logwatch a 
mettere quelle righe da qualche parte, secondariamente mi chiedevo quale 
tipo di tentativo di intrusione fosse, ma questo mi interessa già meno


 Grazie, ma so già che sono righe che fanno parte di quell'incessante
.....
]zac[
 
... tentativo di connessione/attacco?
 
 
http://forums.whirlpool.net.au/archive/1180406
 
 
 
http://sourceforge.net/tracker/?func=detail&aid=3257504&group_id=312875&atid=1316824
 
 
 
Altro non conosco.


 
spostare ssh su altra porta e vivere sereni
 
S.


Bingo, secondo link
E dire che ho cercato e non poco
Sostanzialmente ignoro e pace, thx
M



Mah, sono dubbioso
Pur con un bel config in ~.ssh/ ci sono occasioni nelle quali 
connettersi ad una porta non standard può diventare una gran rottura di 
balle.
Mi viene in mente maven, eclipse per alcune cose ...
C'è anche da dire che è da molto che non provo a spostarla, riproverò 
per vedere se cala il numero di patetici tentativi


 per vedere se cala il numero di patetici tentativi
 
sono almeno 10 anni che uso ssh su porta non standard.. nessuna riga nei 
log relativa a tentativi di accesso
nessun problema a connettermi via ssh con qualsivoglia programma 
 
S.


 
Mah, io ho provato per qualche mese a spostare il demone ssh su una porta alternativa, ma i tentativi di intrusione continuavano. Devo dire che si trattava di
un server con IP pubblico, appartenente ad una rete quotidianamente sotto attacco.
Pero' i benefici erano trascurabili, e i fastidi causati da provider che chiudono le porte in uscita erano insopportabili. Adesso uso fail2ban e adotto le 
principali regole di buon senso; per il resto, mi rassegno.
 
Simone

 
 
 
ho ovviamente macchine su ip pubblico, altrimenti il problema non si 
porrebbe no? :-)
 
la porta deve essere "casuale" e > 1024 e, possibilmente, non legata ad 
alcun servizio conosciuto e/o di largo utilizzo
 
in questo modo il 99,9999% dei bot è assolutamente eliminato..
 
anyway, YMMV
 
S.
 
 


 
Io notavo che molti attacchi facevano una scansione delle porte aperte,
non si limitavano a collegarsi alla 22.


da quando ho scoperto fail2ban è tutto molto più rilassato...
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 


Stessa cosa per me con denyhosts, infatti questi fiotti di messaggi 
durano un minutino circa, ossia il tempo che il demone faccia il suo lavoro
 
Aug 26 09:21:12 serverillo5 sshd[18505]: SSH: Server;Ltype: 
Authname;Remote: 213.155.107.217-55804;Name: pma [preauth]
Aug 26 09:21:12 serverillo5 sshd[18505]: Invalid user pma from 
213.155.107.217
........... ~600 righe di grep dopo
Aug 26 09:22:52 serverillo5 sshd[19100]: Received disconnect from 
213.155.107.217
: 11: Bye Bye [
Aug 26 09:22:52 serverillo5 sshd[19103]: Received disconnect from 
213.155.107.217
: 11: Bye Bye [
Aug 26 09:22:52 serverillo5 sshd[19108]: refused connect from 
213.155.107.217 (213.155.107.217)
Aug 26 09:22:52 serverillo5 sshd[19111]: refused connect from 
213.155.107.217 (213.155.107.217)
 
e l'amico turco lo trovo nell'hosts.deny
 
Come dicevo, dal punto di vista di tranquillità sto bene. Di fatto è la 
parte di logwatch che mi rompe. Nella mail di log mi trovo (solo per 
questo caso) 617 righe messe sotto "Unmatched" e nelle regexp di 
logwatch non ho mai capito bene come metterci mano (anche se forse è più 
la voglia a mancare)
Devo (ri)provare a fare l'aggiornamento alla nuova versione, ma quella 
dava problemi con postfix, o meglio, non mi dava il dettaglio degli 
invii tramite l'smtp interno e quella è una cosa che io voglio tenere 
sotto controllo
 
In realtà l'oggetto del thread poteva essere: valide alternative a logwatch?



 
Io mi sono dovuto convertire forzatamente a fail2ban, perche' Archlinux
ha abbandonato i tcp wrappers. Comunque anche fail2ban fa il suo onesto servizio.


Eh, sarà giunto il momento che mi smazzi pure iptables .... :|



 
Gia', con fail2ban bisogna fare attenzione al firewall. Puo' capitare che
gli script di avvio cancellino le regole di iptables.
 
Simone