入侵报告工具，以auth.log作为文件

最新推荐文章于 2024-12-03 18:37:45 发布

weixin_34195546

最新推荐文章于 2024-12-03 18:37:45 发布

阅读量1.3k

点赞数

CC 4.0 BY-SA版权

文章标签：操作系统 awk python

原文链接：https://my.oschina.net/maliang9527/blog/3035308

本文介绍了一个使用Bash脚本分析auth.log文件的方法，该脚本能够筛选出失败的登录尝试，统计不同用户的尝试次数，记录IP地址，进行主机映射，并计算时间范围，帮助管理员快速定位潜在的安全威胁。

2019独角兽企业重金招聘Python工程师标准>>>

#!/bin/bash
#入侵报告工具，以auth.log作为文件
#tips：前提要确认主机安装并启用rsyslog 如果没有可以 yum install rsyslog

AUTHLOG=/var/log/auth.log

if [[ -n $1 ]]
then
	AUTH_LOG=$1
	echo Using Log file : $AUTHLOG
fi
LOG=/tmp/valid.$$.log
grep -v "Invalid" $AUTHLOG > $LOG
users=$(grep "Failed password" $LOG | awk '{print $(NF-5) }' | sort | uniq)
printf "%-5s|%-10s|%-10s|%-13s|%-33s|%-s\n" "Sr#" "User" "Attempts" "IP address" "Host_Mapping" "Time range"

ucount=0;
ip_list="$(egrep -o "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" $LOG | sort | uniq)"
for ip in $ip_list;
do
	grep $ip $LOG > /tmp/temp.$$.log

for user in $users;
do
	grep $user /tmp/temp.$$.log > /tmp/$$.log
	cut -c-16 /tmp/$$.log > $$.time
	tstart=$(head -1 $$.time);
	start=$(date -d "$tstart" "+%s");
	tend=$(tail -1 $$.time);
	end=$(date -d "$tend" "+%s")
	limit=$(($end - $start))
	if [ $limit -gt 120 ]; 
		then
			let ucount++;
			IP=$(egrep -o "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" /tmp/$$.log | head -1);
			TIME_RANGE="$tstart-->$tend"
			ATTEMPTS=$(cat /tmp/$$.log | wc -l);
			HOST=$(host $IP | awk '{ print $NF}')
			printf "%-5s|%-10s|%-10s|%-10s|%-33s|%-s\n" "$ucount" "$user" "$ATTEMPTS" "$IP" "$HOST" "$TIME_RANGE"
	fi
done
done
rm /tmp/valid.$$.log /tmp/$$.log $$.time /tmp/temp.$$.log 2> /dev/null

转载于:https://my.oschina.net/maliang9527/blog/3035308