itstrue
Jul 09, 2021
view1998
view10
0
Goto Top

Frage zu logfiles

GermansolvedQuestionUbuntuLinux
Hallo,

ich habe in den logfiles bzw. im logwatch output ein paar komische Dinge gesehen. Sytsem ist Ubuntu 20.04 LTS..
Vll kann mir ja jemand weiterhelfen, diese Einträge hatte ich heute das 1. Mal:

httpd
Connection attempts using mod_proxy:
222.186.19.235 -> fuwu.sogou.com:443: 2 Time(s)
Requests with error response codes
502 Bad Gateway
/push/ws: 464 Time(s)

Ich habe nginx laufen. Wie kann ich die attempts verhindern? Könnte ich in Fail2Ban die Sektion [nginx-http-auth]
aktivieren?

Was hat es mit dem /push/ws auf sich? Ein derartiges Verzeichnis hab ich gar nicht...

Dieser Eintrag taucht jeden Tag auf:

pam_unix
su:
Sessions Opened:
root -> nobody: 3 Time(s)

Und dazu aus dem log:
Jul 8 06:25:01 xy su: (to nobody) root on none
Jul 8 06:25:01 xy su: pam_unix(su:session): session opened for user nobody by (uid=0)
Jul 8 06:25:01 xy systemd: pam_unix(systemd-user:session): session opened for user nobody by (uid=0)
Jul 8 06:25:01 xy su: pam_unix(su:session): session closed for user nobody
Jul 8 06:25:01 xy su: (to nobody) root on none
Jul 8 06:25:01 xy su: pam_unix(su:session): session opened for user nobody by (uid=0)
Jul 8 06:25:01 xy su: pam_unix(su:session): session closed for user nobody
Jul 8 06:25:01 xy su: (to nobody) root on none
Jul 8 06:25:01 xy su: pam_unix(su:session): session opened for user nobody by (uid=0)
Jul 8 06:25:01 xy CRON[90276]: pam_unix(cron:session): session closed for user www-data
Jul 8 06:25:02 xy su: pam_unix(su:session): session closed for user nobody


Wäre super, wenn mir jemand weiterhelfen könnte.

Danke

Thomas
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 954540192

Url: https://administrator.de/contentid/954540192

Printed on: April 26, 2024 at 10:04 o'clock

10 Comments
Latest comment
Goto Top
Member: Lochkartenstanzer
Lochkartenstanzer Jul 09, 2021 at 10:59:42 (UTC)
Goto Top
Moin,

Da scannt jemand einfach nur das Netz und schaut halt bei Dir nach, ob seine Malware bei dir schon angekommen ist. Einfach mit fail2ban ausblenden und gut ist.

lks
Member: itstrue
itstrue Jul 09, 2021 at 11:03:35 (UTC)
Goto Top
Welche "Sektion" aktiviere ich am besten in Fail2Ban
Die von mir angesprochene nginx-http-auth oder andere?
Member: Lochkartenstanzer
Lochkartenstanzer Jul 09, 2021 at 11:11:08 (UTC)
Goto Top
Zitat von @itstrue:

Welche "Sektion" aktiviere ich am besten in Fail2Ban
Die von mir angesprochene nginx-http-auth oder andere?

Prinzipiell sollte dieses Tutorial How To Protect an Nginx Server with Fail2Ban on Ubuntu 14.04 auch mit aktuellem ubuntu funktionieren.

lks
Member: itstrue
itstrue Jul 09, 2021 updated at 11:47:37 (UTC)
Goto Top
Danke die hatte ich auch schon gefunden. Werde ich heute Abend mal einstellen
Member: itstrue
itstrue Jul 27, 2021 at 13:45:58 (UTC)
Goto Top
Also ich hab das ganze mit Fail2Ban wie in der Anleitung beschrieben abgesichert.
Habe habe immer noch
Connection attempts using mod_proxy:

Kann ich das noch anderweitig verhindern?
Member: aqui
aqui Jul 27, 2021 updated at 14:21:36 (UTC)
Goto Top
Dazu müsste man einmal wissen wie du die Timer in Fail2ban konfiguriert hast. Wenn du dem Beispiel gefolgt bist sind das unsinnige Werte. Wenn einer im 2 Stunden Rythmus attackiert nutzt Fail2ban mit den o.a. Settings recht wenig mit dem Ban Timmer 3600 (= eine mickrige Stunde). Der würde dann immer wieder diese Meldung generieren.
Das solltest du also deutlich höher setzen auf mindestens 8 Stunden besser gleich einen Tag. Maxretry ist ebenso unsinnig liberal gesetzt. Das sollte höchstens auf 3 stehen besser noch 2 so das nur 2 Fehlversuche erlaubt sind und danach ein Angreifer für 24 Stunden geblockt wird. Sowas wäre bei heutigen Szenarien angebracht und sagt einem doch auch der gesunde IT Menschenverstand ! Mitdenken hilft wirklich ! face-wink
Fakt ist das Angreifer versuchen den Proxy deines Servers zu benutzen.
https://www.davekb.com/browse_computer_tips:logwatch_connection_attempts ...
https://is.gd/R9K7TA
Member: itstrue
itstrue Jul 27, 2021 updated at 14:25:31 (UTC)
Goto Top
Hab mitgedacht: face-smile face-smile Vll. bissl zu krass, aber egal
maxretry = 2
#findtime: 1 year
findtime = 31536000
#bantime: 1 year
bantime = 31536000

Achja:
Ich hab keinen Apache laufen sondern nginx
Member: itstrue
itstrue Jul 27, 2021 updated at 21:35:44 (UTC)
Goto Top
Also ich hab jetzt noch nach div. Nginx Fail2ban Filtern gegoogelt.
Die hab ich im Jail eingetragen, die Filterdateien erstellt. Fail2Ban neu gestartet. Ruckzuck hatte ich auch 6 Mails = 6 Bans

Insgesamt hat mir fail2ban-client status 10 Jails gezeigt und in einem davon wie gesagt die 6 Bans.
Hab dem Server dann einen Reboot gegönnt:
Fail2Ban ist nicht mehr gelaufen, da in einem Filter falsche Zeichen waren => korrigiert und F2B neu gestartet

Jetzt zeigt mir fail2ban-client status aber nur noch 7 Jails und auch die 6 gabannten IPs sind weg...

Woran kann das liegen? Es fehlt z.B. auch der Nextloud Jail, den ich nicht angefasst hatte. Alle Jails sind in der jails.local eingetragen und aktiviert. Filter sind auch alle da.

Netdata zeigt mir auch alle 10 Jails an....
Member: itstrue
Solution itstrue Jul 27, 2021 updated at 23:12:42 (UTC)
Goto Top
Problem hat sich erledigt. Hatte eine Borg Backup Kopie von der jails.local eingespielt

Irgendwo in einem der Filter, hatte der Ersteller falsche Zeichen drin, nach Korrektur geht alles
Member: aqui
aqui Jul 28, 2021 at 07:15:51 (UTC)
Goto Top
Perfekt !

Bitte dann nicht vergessen den Thread auch zu schliessen !
How can I mark a post as solved?
GermansolvedQuestionUbuntuLinux