Hiho Leute,

Es geht um folgendes: Da meine Logfiles immo von externen fehlgeschlagenen Logins überflutet werden würde ich gerne wissen ob es eine Möglichkeit gibt das wenn sagen wir innerhalb von 20 sekunden 5 fehlerhafte Logins protokolliert werden ich eine Mail bekomme.

Das OS ist Debian

Danke für eure Antworten

Mfg

Feigling

du könntest du ein shell script schreiben, welches die logs mit awk + sed durchgeht und dir bei einem fehlerhaften loginversuch eine email per sendmail schickt.

Du könntest fail2ban benutzen. Basiert auf Python und kann neben dem auth.log noch diverse weitere Logfiles auswerten (apache, mail, usw.).

Wenn ein (einstellbares) Limit in einer bestimmten Zeit an fehlerhaften Logins von der selben Adresse kommt, dann sperrt fail2ban den Zugriff von dieser Adresse mittels iptables. Die ankommenden Pakete werden dann gedropt (d.h. der Angreifer bekommt nichtmal ein Connection refused, sondern läuft in ein Timeout). Das ganze macht Bruteforce ziemlich sinnlos.

Nach einer eingestellten Zeit wird sperre dann wieder aufgehoben.

Benutze ich auf meinem Server auch und es funktioniert hervorragend.

Und: Es kann dir auch eine Mail schicken

Jaa das ist genau das was ich gesucht hab

Danke sehr :) :)

Du könntest fail2ban benutzen. Basiert auf Python und kann neben dem auth.log noch diverse weitere Logfiles auswerten (apache, mail, usw.).

Wenn ein (einstellbares) Limit in einer bestimmten Zeit an fehlerhaften Logins von der selben Adresse kommt, dann sperrt fail2ban den Zugriff von dieser Adresse mittels iptables. Die ankommenden Pakete werden dann gedropt (d.h. der Angreifer bekommt nichtmal ein Connection refused, sondern läuft in ein Timeout). Das ganze macht Bruteforce ziemlich sinnlos.

Nach einer eingestellten Zeit wird sperre dann wieder aufgehoben.

Benutze ich auf meinem Server auch und es funktioniert hervorragend.

Und: Es kann dir auch eine Mail schicken

Sorry für Doppelpost aber ich hab das Tool jetzt im Einsatz und es hat beim ersten Angriff gleich versagt. Ich hab die Vermutung das das Tool nur anspringt wenn in den Log files "Possible Break-in Attempt" steht. Wenn das nicht hinten dran steht reagiert das Tool gar nicht. Hab heute Nacht wieder nen Angriff gehabt der 2 Stunden ging und nicht einmal hat Linux in den Logfiles "Possible Break-in Attempt" geschrieben.

Ist das normal oder hab ich was falsch eingestellt in dem Tool ???

Ist es richtig konfiguriert? Läuft es?

Wenn es laufen würde hätte ich schon noch nen Beitrag und die Lösung geschrieben

Mfg

Feigling

Ich meine ob du fail2ban gestartet hast und der Prozess läuft...

Hat sich erledigt auf einmal geht alles

Die Welt ist komisch ^^