Software zur Erkennung von Sicherheitsproblemen in Protokollen für NGINX oder andere Unix-Programme

/var/logIch sehe Online-Empfehlungen, dass ich die Anmeldungen nach Angriffen auf meinen Webserver oder Sicherheitsproblemen mit dem (Ubuntu Linux)-System im Allgemeinen durchsuchen soll, aber es wäre hilfreich, wenn ich etwas hätte, das nach mir suchen und mir eine E-Mail über etwas Verdächtiges schicken könnte .

Ich habe einige Seiten über Protokollverwaltungssoftware gesehen, bin mir aber nicht sicher, was effektiv wäre, insbesondere für jemanden, der dies nicht als Unternehmen tut. Was sind einige gute Pakete, die man sich ansehen sollte? Oder existiert das was ich suche?

Suchen Sie ein einfaches Monitoring-Tool (wie Monitorix ) – oder eher etwas, das auf definierte Muster reagiert (wie Fail2ban )? Beide können so konfiguriert werden, dass sie bei definierten Ereignissen E-Mails senden (tatsächlich verwende ich beide, aber nicht ihre E-Mail-Funktion ;)
Fail2bansieht aus wie das Ding. Danke! Poste es als Antwort und ich werde es akzeptieren.

Antworten (1)

Ich verwende auf meinen Rechnern eine Kombination aus Monitorix (zur Langzeitevaluation) und Fail2ban . Beide können E-Mail-Benachrichtigungen versenden, obwohl ich diese Funktion nicht verwende.

Für Ihren Fall würde ich besonders Fail2Ban empfehlen:

  • Protokolle durchsehen /var/log: Genau das, was es tut. Wird bereits mit einer Reihe von Regeln geliefert, die Sie selbst erweitern können (unter Verwendung regulärer Ausdrücke).
  • mailt mir bei Verdächtigen: nicht nur das, es kann sofort Vorkehrungen treffen – zB das Sperren einer bestimmten „Angreifer-IP“ für eine bestimmte Zeit (das steckt hinter dem Namen: „X fehlgeschlagene Anmeldungen → Sperren!“).

Es ist ziemlich effektiv und läuft für mich als eine Art "automatisches IDS ": Bannt Hacker (Web, Mail, SSH und mehr) sowie "Leecher" und vieles mehr. Es kennt eine Reihe häufig verwendeter Software und deren Protokollformate (z. B. Apache, OpenSSH, ProFTP, verschiedene Mailserver), sodass Sie sogar sofort etwas Nützliches erhalten. Obwohl die meisten Dinge (außer SSH) standardmäßig "deaktiviert" sind, dauert es ein paar Minuten, die von Ihnen verwendeten auszuwählen und zu aktivieren.

Sobald Sie sich ein wenig damit vertraut gemacht haben, können Sie sogar anfangen, Ihre eigenen Regeln zu schreiben – und es mit anderen Diensten interagieren lassen (z. B. Apache: Lassen Sie mod_securitydas einige Ereignisse vom Typ "EMERGENCY" werfen und Fail2Ban darauf reagieren). Ich kann es nur wärmstens empfehlen.

mod_security hat viele Fehlalarme, und ich musste viele der Regeln auskommentieren oder ändern.
@cybernard Ich auch – aber nachdem ich es entsprechend angepasst habe, macht es einen tollen Job. mod_securitywurde hier nur als Beispiel erwähnt – die empfohlene Software ist Fail2Ban :)
Software zur Erkennung von Sicherheitsproblemen in Protokollen für NGINX oder andere Unix-Programme
AntwortenHierDatenschutz-Bestimmungen1y, 0v