URL: https://linuxfr.org/users/srb/journaux/statistiques-de-tentatives-de-connexion-ssh-par-des-bots Title: Statistiques de tentatives de connexion SSH par des bots Authors: srb Date: 2021年03月06日T23:07:26+01:00 License: CC By-SA Tags: bot, sécurité, debian et ubuntu Score: 45 Ceci est une compilation de tentatives de connexion SSH issus de fichier /var/log/auth.log récupéré en mai 2020, août 2020 et février 2021 sur deux serveurs différents. Ces statistiques (sauf pour root et www-data) sont issues de la commande : ```bash grep "Invalid user" *.log | awk 'BEGIN { FS=" " } { print 8ドル}' | sort | uniq --count | sort --reverse --numeric-sort ``` Bien que ces statistiques sont à prendre avec des pincettes, les ordres de grandeur semblent cohérents. J'ai ignoré les noms qui ont été tenté moins d'une cinquantaine de fois. Les cinq comptes les plus requêtés (les quantités sont entre parenthèses) : 1. root (205434) 2. admin (6136) 3. test (3871) 4. ubuntu (3275) 5. postgres (3003) Il existe deux types de comptes visés : A. Les utilisateurs réels ------------------------- ### Compte root et variantes root (205434), toor (83), root1 (83) Les nombres de tentative sur root est de loin le plus grand. L'intérêt est évident mais je me demande s'il y a encore des serveurs avec ce compte accessible en SSH. Une configuration « PermitRootLogin: "no" » est conseillé un peu partout. ### Des comptes associés au service informatique admin (6136), dev (658), administrator (565), support (518), sysadmin (303), suporte (253), webadmin (200), administrador (192), admin1 (151), helpdesk (136), Administrator (81), Admin (78), tech (76), sysop (66), admin2 (57), webmin (49), operator (49) Attaquer un compte admin semble une bonne idée : il a probablement des droits proche de root, sans s'appeler root. Je ne sais pas si cette pratique existe beaucoup aujourd'hui. J'ai l'impression que l'usage de `sudo` a pu la remplacer. ### Des comptes associés aux autres services student (345), service (213), manager (93), team (92), appuser (89), sales (73), marketing (68), students (61), family (57), work (56), student2 (51), teacher (49), market (49) On voit principalement des comptes génériques d'entreprises et d'universités. ### Des utilisateurs de tests test (3871), test_user (735), test1 (547), tester (412), teste (294), test123 (88), Test (79), testtest (72), testuser1 (71), test01 (67), test_user (62) Je suppose que c'est très intéressant à tenter : si un compte pour tester a été créé, il a probablement un mot de passe faible. ### Des comptes invités guest (834), demo (560), public (141) ### Pleins de prénoms daniel (270), john (254), jack (141), james (134), yang (74), etc. Il y a beaucoup de prénoms à consonance asiatique avec de faibles occurrences. Peut-être que c'est nouveau ? ### Des utilisateurs nommés sans aucune créativité user1 (576), user2 (229), user3 (175), username (126), user4 (77), user01 (63), Probablement une situation comparable aux utilisateurs de tests (mot de passe faible). B. Des comptes associés à des logiciels, services ------------------------------------------------- ### Noms de distribution ubuntu (3275), pi (449), debian (301), centos (225), ubnt (165) L'écart entre les requêtes sur « ubuntu » et le reste est assez étonnant. L'utilisateur « pi » provient probablement de raspian, une distribution basée sur Debian et visant les Raspberry Pi. ### Bases de données et autres postgres (3003), oracle (1932), hadoop (625), kafka (283), mysql (214), elasticsearch (191), db2fenc1 (140), informix (121), db2inst1 (115), elastic (98), mongo (97), mongodb (94), spark (94), redis (81), rabbitmq (71), dbuser (68), db (63) ### Gestion de version git (1504), svn (174), gitlab (94), gituser (69), gitlab-runner (54) ### FTP ftpuser (1345), ftp (564), uftp (307), ftptest (253), testftp (211), ftpadmin (177), ftp_user (145), sftp (141), userftp (95), sftpuser (78), ftp-user (66), ftp1 (61), ftpuser1 (57), myftp (52), sftptest (49) FTP est le protocole avec la plus grande diversité de noms attaqués. ### Progiciel de Gestion Intégré odoo (313), openerp (115), erp (71) ### E-mail vmail (111), testmail (85), postmaster (82), noreply (60), zimbra (122) Je suis étonné par le niveau faible d'attaque sur ce service. Et encore , zimbra est un webmail donc on pourrait se demander s'il est dans la bonne catégorie. ### HTTP www (839), web (627), webmaster (343), www-data (305), apache (150), nginx (139), webuser (137) ### Et plus spécifiquement Wordpress wp (122), wordpress (106), wp-user (69), cms (51) ### Jeux minecraft (648), csgoserver (238), arkserver (122), ark (122), factorio (115), cs (110), csgo (105), csserver (94), gmodserver (82) ### Teamspeak teamspeak (602), ts3 (596), teamspeak3 (329), ts (328), ts3server (236), ts3bot (157), ts3srv (72), ts3user (63) Teamspeak est (était ?) beaucoup utilisé par les joueurs pour discuter entre eux pendant leurs parties. ### Diffusion de musique sinusbot (332), sinus (139), musikbot (118), musicbot (64) Ce sont des bots pour diffuser de la musique sur Teamspeak et/ou Discord. J'ignorais leur existence avant le regarder ces statistiques. ### Infrastructure nagios (757), jenkins (546), redmine (220), zabbix (206), ansible (172), docker (171), sonar (110), stack (98), sentry (92), squid (81), cacti (74), solr (72), cactiuser (57), serverpilot (56), zookeeper (55), cisco (51), ### Machines virtuelles et hébergement ec2-user (289), cloud (221), vps (112), vm (64) ### Déploiement deploy (1459), deployer (237), build (88), uploader (68), production (52) ### Et aussi tomcat (469), samba (173), system (156), jboss (139), backups (98), scan (96), rustserver (88), node (85), sun (81), confluence (76), laravel (72), sshuser (66), smbuser (60), applmgr (60), openvpn (59), rust (56), cron (54), alfresco (51) À noter des cas assez inclassables comme : - une seule lettre de l'alphabet : b (136), a (122), etc. - un seul chiffre : 1 (35), 2 (53), etc. - nvidia (69) Bref, la plage de tentative est assez large, en tout cas, bien plus que je ne l'aurai imaginé avant de faire quelques statistiques sur les journaux d'authentification.

AltStyle によって変換されたページ (->オリジナル) /