sshd — алерт по росту auth-fail (до бана fail2ban) · monitoring cookbook · Enterno.io

Enterno.io Editorial Team

sshd — алерт по росту auth-fail (до бана fail2ban)

fail2ban банит источники по threshold — но кампания идёт с тысячи IP по 1 attempt каждый. Каждый IP не попадает в ban, но общий шум на ssh-порту огромный.

Стек: journalctl · awk · cron Теги: security, sshd, bruteforce

Рецепт

bash

#!/usr/bin/env bash
# /etc/cron.d/sshd-spike
# */5 * * * * root /opt/sshd-spike.sh

WINDOW=${WINDOW:-5min}
THRESH=${THRESH:-100}                 # fails / 5 min

COUNT=$(journalctl -u ssh --since "$WINDOW ago" --no-pager 2>/dev/null \
  | grep -cE 'Failed password|Invalid user|maximum authentication attempts')

if [ "${COUNT:-0}" -gt "$THRESH" ]; then
  UNIQUE=$(journalctl -u ssh --since "$WINDOW ago" --no-pager 2>/dev/null \
    | grep -oE 'from [0-9.]+' | sort -u | wc -l)
  curl -fsS "$HEARTBEAT_URL" --data "ssh_fails=$COUNT,unique_ips=$UNIQUE"
  exit 2
fi
echo "OK ($COUNT auth-fails / 5m)"

То же самое в Enterno.io

Заверните в Enterno heartbeat — увидите кампанию distributed-bruteforce раньше, чем она «прокликает» одну ослабленную ssh-учётку.

Настроить Heartbeat monitor → ← Все рецепты

sshd — алерт по росту auth-fail (до бана fail2ban)

Рецепт

То же самое в Enterno.io

Похожие рецепты

HSTS preload — алерт когда заголовок пропал после деплоя

DNS AXFR — убедиться что zone transfer закрыт

nginx — алерт когда rate-limit-zone забивается

Начните мониторинг бесплатно