SSH Brute-Force Saldırılarını auth.log'dan grep, awk ve sort ile Bul

Sunucun internet'te olduğu sürece biri SSH şifresini tahmin etmeye çalışıyor. Hatta şu anda da olabilir. Bunu görmek, ölçmek ve harekete geçmek için standart araçlar yeterli.

SSH kimlik doğrulama olayları Debian ve Ubuntu sistemlerinde `/var/log/auth.log` dosyasında kaydedilir (RHEL tabanlı sistemlerde `/var/log/secure`). Okumak için root veya `adm` grubunda olmak gerekir.

Önce kanıtı görelim. Başarısız giriş denemelerini şu komutla listeleyebilirsin:

1sudo tail -n 20 /var/log/auth.log

Çıktıda şöyle satırlar görürsün:

1Nov 01 02:11:04 web-01 sshd[811]: Failed password for root from 203.0.113.45 port 51122 ssh2
2Nov 01 02:11:05 web-01 sshd[812]: Failed password for invalid user admin from 203.0.113.45 port 51134 ssh2

Toplam başarısız deneme sayısını bulmak için `grep` kullan:

1sudo grep -c "Failed password" /var/log/auth.log

Ama saldırganın IP adresini bilmek daha önemli. Her satırdan kaynak IP'yi çıkar, ardından IP'ye göre grupla ve say:

1sudo grep "Failed password" /var/log/auth.log | awk '{for (i=1; i<=NF; i++) if ($i ~ /^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$/) print $i}' | sort | uniq -c | sort -rn

Bu komut şu işleri yapıyor: `grep` başarısız giriş satırlarını filtreler, `awk` her satırdan IP adresini bulur, `sort` sıralar, `uniq -c` aynı IP'leri sayar ve son `sort -rn` en çok deneme yapanı üstte gösterir.

Çıktı şöyle görünür:

1245 203.0.113.45
287 198.51.100.22
312 192.0.2.5

203.0.113.45 IP'si 245 kez başarısız deneme yapmış. Bu açıkça brute-force saldırısı. Eğer belirli bir IP'den gelen tüm saldırıları görmek istersen:

1sudo grep "Failed password" /var/log/auth.log | grep "203.0.113.45"

Bu IP'yi firewall kuralıyla engelleyebilir veya `fail2ban` gibi bir araç kurarak otomatik koruma sağlayabilirsin. Önemli olan saldırıyı hızlı tespit etmek ve yanıt vermek, ve burada standart araçlar tamamen yeterli.