Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résult at de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelq ues
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résult at de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelq ues
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résult at de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelq ues
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
Bref, du très banal. Tu peux toujours envoyer au FAI mais ça se ra
confié à l'inspecteur Aupanier...
Bref, du très banal. Tu peux toujours envoyer au FAI mais ça se ra
confié à l'inspecteur Aupanier...
Bref, du très banal. Tu peux toujours envoyer au FAI mais ça se ra
confié à l'inspecteur Aupanier...
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en quelques
temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de
whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Pas grand-chose, ces attaques sont je pense dues à des vers qui se
propagent sur les postes Windows par le réseau, et donc c'est
difficile de savoir d'où elles proviennent. Une chose est sûre, les
personnes a qui correspondent ces IP n'y sont pour rien, il sont
comme toi des victimes. Moi même je reçois beaucoup de tentatives
de connexion sur mon serveur web, d'adresses IP free. La seule
chose à faire est, je pense, de s'assurer le la solidité de la
sécurité sur ton serveur, qui je pense est bonne (sinon tu aurais
déjà eu des soucis !)
Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de
whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Pas grand-chose, ces attaques sont je pense dues à des vers qui se
propagent sur les postes Windows par le réseau, et donc c'est
difficile de savoir d'où elles proviennent. Une chose est sûre, les
personnes a qui correspondent ces IP n'y sont pour rien, il sont
comme toi des victimes. Moi même je reçois beaucoup de tentatives
de connexion sur mon serveur web, d'adresses IP free. La seule
chose à faire est, je pense, de s'assurer le la solidité de la
sécurité sur ton serveur, qui je pense est bonne (sinon tu aurais
déjà eu des soucis !)
Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de
whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Pas grand-chose, ces attaques sont je pense dues à des vers qui se
propagent sur les postes Windows par le réseau, et donc c'est
difficile de savoir d'où elles proviennent. Une chose est sûre, les
personnes a qui correspondent ces IP n'y sont pour rien, il sont
comme toi des victimes. Moi même je reçois beaucoup de tentatives
de connexion sur mon serveur web, d'adresses IP free. La seule
chose à faire est, je pense, de s'assurer le la solidité de la
sécurité sur ton serveur, qui je pense est bonne (sinon tu aurais
déjà eu des soucis !)
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
> Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :
>
>> Bonjour,
>>
>> J'ai dans mon auth.log une liste de tentatives de connection à un
>> serveur ssh, une par seconde.
>>
>> L'adresse ip provient d'un FAI français (d'aprés le résultat de
>> whois)
>>
>> Impressionnant le nombre d'identifiants utilisateurs testés en
>> quelques temps.
>>
>> Que puis-je, que dois je faire de ces journaux ?
>>
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
je sais plus si c'etait en bash, ou perl... peu importe, je pense que
ce genre de script
va devenir de plus en plus pratique avec le temps.
Certains parmis vous ont des infos ou des liens dessus avant que je
m'y mette depuis zero?
- ----
Nicolas Martinez
http://www.generation-libre.com
Site d'entraide et d'informations sur les logiciels libres.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
iD8DBQFDVBn2TjhuX2IovwsRAr5FAJ9cQ6ZafizosnVaSgDn92ebZtH9QgCgg2M6
nmg4tlOlsVXdS4ln1PnVIxE=
=sSgD
-----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
> Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :
>
>> Bonjour,
>>
>> J'ai dans mon auth.log une liste de tentatives de connection à un
>> serveur ssh, une par seconde.
>>
>> L'adresse ip provient d'un FAI français (d'aprés le résultat de
>> whois)
>>
>> Impressionnant le nombre d'identifiants utilisateurs testés en
>> quelques temps.
>>
>> Que puis-je, que dois je faire de ces journaux ?
>>
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
je sais plus si c'etait en bash, ou perl... peu importe, je pense que
ce genre de script
va devenir de plus en plus pratique avec le temps.
Certains parmis vous ont des infos ou des liens dessus avant que je
m'y mette depuis zero?
- ----
Nicolas Martinez
http://www.generation-libre.com
Site d'entraide et d'informations sur les logiciels libres.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
iD8DBQFDVBn2TjhuX2IovwsRAr5FAJ9cQ6ZafizosnVaSgDn92ebZtH9QgCgg2M6
nmg4tlOlsVXdS4ln1PnVIxE=
=sSgD
-----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
> Le Mon, 17 Oct 2005 23:00:12 +0200, Jody a écrit :
>
>> Bonjour,
>>
>> J'ai dans mon auth.log une liste de tentatives de connection à un
>> serveur ssh, une par seconde.
>>
>> L'adresse ip provient d'un FAI français (d'aprés le résultat de
>> whois)
>>
>> Impressionnant le nombre d'identifiants utilisateurs testés en
>> quelques temps.
>>
>> Que puis-je, que dois je faire de ces journaux ?
>>
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
je sais plus si c'etait en bash, ou perl... peu importe, je pense que
ce genre de script
va devenir de plus en plus pratique avec le temps.
Certains parmis vous ont des infos ou des liens dessus avant que je
m'y mette depuis zero?
- ----
Nicolas Martinez
http://www.generation-libre.com
Site d'entraide et d'informations sur les logiciels libres.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
iD8DBQFDVBn2TjhuX2IovwsRAr5FAJ9cQ6ZafizosnVaSgDn92ebZtH9QgCgg2M6
nmg4tlOlsVXdS4ln1PnVIxE=
=sSgD
-----END PGP SIGNATURE-----
Jody wrote:Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
Jody wrote:
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
Jody wrote:Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
Georges Roux a écrit :Jody wrote:Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
il me semble aussi que changer le port devrait suffir à tromper la
plupart des vers. J'ai aussi un serveur ssh et ftp sur des ports en
30000 et 40000 et je n'ai jamais eu de pareils logs...
Sylvain
Georges Roux a écrit :
Jody wrote:
Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
il me semble aussi que changer le port devrait suffir à tromper la
plupart des vers. J'ai aussi un serveur ssh et ftp sur des ports en
30000 et 40000 et je n'ai jamais eu de pareils logs...
Sylvain
Georges Roux a écrit :Jody wrote:Bonjour,
J'ai dans mon auth.log une liste de tentatives de connection à un
serveur ssh, une par seconde.
L'adresse ip provient d'un FAI français (d'aprés le résultat de whois)
Impressionnant le nombre d'identifiants utilisateurs testés en
quelques temps.
Que puis-je, que dois je faire de ces journaux ?
D'avance, merci.
Jody
Change le port de ssh, n'utilise pas le 22
Leurs script sont assez primaires, un changement de port et ils sont
perdu.
ils testent des login du genre login: admin pwd: admin
C'est stupid mais ca marche trop souvent.
Georges
il me semble aussi que changer le port devrait suffir à tromper la
plupart des vers. J'ai aussi un serveur ssh et ftp sur des ports en
30000 et 40000 et je n'ai jamais eu de pareils logs...
Sylvain
Le lundi 17 octobre 2005 à 23:39 +0200, Martinez Nicolas a écrit :-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
portsentry peut, je pense faire l'affaire; il permet de bannir les ip
qui tentent des scans en ajoutant des règles au fw.
Sinon, tu grep auth.log et tu ajoutes les règles au fw; ça peut se
scripter facilement. Mais dans la mesure où il ne s'agit pas vraiment
d'attaque (ça reste ponctuel dans le temps), tu risques de bloquer des
ip d'innocents... C'est pourquoi, je pense qu'une solution plus réactive
(portsentry) est mieux adaptée.
Le lundi 17 octobre 2005 à 23:39 +0200, Martinez Nicolas a écrit :
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
portsentry peut, je pense faire l'affaire; il permet de bannir les ip
qui tentent des scans en ajoutant des règles au fw.
Sinon, tu grep auth.log et tu ajoutes les règles au fw; ça peut se
scripter facilement. Mais dans la mesure où il ne s'agit pas vraiment
d'attaque (ça reste ponctuel dans le temps), tu risques de bloquer des
ip d'innocents... C'est pourquoi, je pense qu'une solution plus réactive
(portsentry) est mieux adaptée.
Le lundi 17 octobre 2005 à 23:39 +0200, Martinez Nicolas a écrit :-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Clément Plantier a écrit :
Effectivement...
J'avais lu sur le web una rticle sur un script permettant de bannir
temporairement
l'acces au serveur depuis ces ip.
portsentry peut, je pense faire l'affaire; il permet de bannir les ip
qui tentent des scans en ajoutant des règles au fw.
Sinon, tu grep auth.log et tu ajoutes les règles au fw; ça peut se
scripter facilement. Mais dans la mesure où il ne s'agit pas vraiment
d'attaque (ça reste ponctuel dans le temps), tu risques de bloquer des
ip d'innocents... C'est pourquoi, je pense qu'une solution plus réactive
(portsentry) est mieux adaptée.
