使用ELK實時分析SSH暴力破解

這是elk入門到實踐系列的第二篇文章，分享如何使用elk實時分析ssh暴力破解。從一張圖看出ssh登入時間、登入狀態、使用者名稱字典，嘗試次數、**ip等，可洞悉ssh暴力破解，迅速定位攻擊者。

linux系統的安全日誌為/var/log/secure，記錄驗證和授權方面的資訊，只要涉及賬號和密碼的程式都會記錄，比如ssh登入。

登入成功：

nov  700:
57:50 localhost sshd[
22514
]: accepted password for root from 192.168
.28.1 port 18415 ssh2
nov  700:
57:50 localhost sshd[
22514]:
pam_unix
(sshd:session)
: session opened for user root by (uid=
0)

登入失敗：

nov  700:
59:12 localhost sshd[
22602
]: failed password for root from 192.168
.28.1 port 18443 ssh2
nov  700:
59:14 localhost sshd[
22602
]: error: received disconnect from 192.168
.28.1 port 18443:0
:[preauth]```

通過以上資訊，我們只需要一條資訊就可以判斷登入成功或失敗。

# ssh登入成功 nov 700: 57:50 localhost sshd[ 22514 ]: accepted password for root from 192.168 .28.1 port 18415 ssh2 # ssh登入失敗 nov 700: 59:12 localhost sshd[ 22602 ]: failed password for root from 192.168 .28.1 port 18443 ssh2

基於上述，我們來構造grok正則捕獲關鍵資訊字段。

2、測試

/usr/local/logstash/bin/logstash -e 'input } output}'

3、logstash配置

input 
}filter  .* % from.*%.*"}}
}output "
#user =
>
"elastic"
#password =
>
"changeme"
}          stdout 
}}

1、安裝

yum -y install elasticsearch

2、配置

3、啟動es

/bin/systemctl daemon-reload systemctl start elasticsearch

安裝部署

# 安裝yum -y install kibana# 配置cd /etc/kibana cp kibana.yml kibana.yml.bak vi kibana.yml server.port: 5601 server.host: "0.0.0.0" elasticsearch.hosts: [""]# 啟動systemctl daemon-reload systemctl restart kibana

繪製資料表可以直觀的看到攻擊者所使用的使用者名稱字典，登入成功或者失敗的次數。

繪製折線圖

y軸為登入失敗次數，x軸為登入時間，對ssh登入狀態和ip位址做了乙個直觀的統計。

製作儀錶盤

將前面繪製的資料表和折線圖匯入到乙個儀錶盤，就可以通過一張圖進行安全日誌分析，實時洞悉ssh暴力破解。

本文中，通過對secure日誌的分析，構建grok正則捕獲關鍵字段資訊，然後將日誌資料匯入elk進行實時分析。基於elk實現日誌收集分析，有著更多的應用場景，慢慢去摸索，繼續分享一些最佳實踐。

使用ELK實時分析SSH暴力破解

實時Web資料的實時分析

開源實時日誌分析ELK

對大資料進行實時分析

使用ELK實時分析SSH暴力破解

實時Web資料的實時分析

開源實時日誌分析ELK

對大資料進行實時分析

相關推薦