Graylog4.2+GeoIP2获取SSH暴力破解攻击者IP的地理位置信息

yuanfan2012

发布于 2021-11-25 15:01:47

1.1K0

发布于 2021-11-25 15:01:47

文章被收录于专栏：WalkingCloudWalkingCloud

场景说明

当云服务器位于公网时，并开放了SSH端口，会经常受到SSH暴力破解攻击

通过rsyslog转发云服务器系统日志到GrayLog进行日志分析系统安全日志，结合GeoIP2地址数据库就可以获取SSH暴力破解攻击者IP的地理位置信息

(图片可点击放大查看)

准备条件

1、GrayLog的Marketplace中下载SSH日志Content Pack

https://github.com/xkill/graylog_4.1_ssh

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

2、GeoIP2 Databases

GeoIP的数据库文件

(图片可点击放大查看)

具体实现的操作方法

1、上传GeoIP地址库文件

GeoLite2-City_20211116.tar.gz文件中GeoLite2-City.mmdb上传到GrayLog服务器的/etc/graylog/server目录中

(图片可点击放大查看)

2、启用GeoIP Resolver

system/configurations中最右下方Geo-Location Processor中启用Geo-Location Processor

(图片可点击放大查看)

并在Message Processors Configuration中将GeoIP Resolver的顺序放在最下面拖拽即可

(图片可点击放大查看)

(图片可点击放大查看)

3、上传并安装graylog_4.1_ssh-main-content-pack

(图片可点击放大查看)

(图片可点击放大查看)

4、修改Pipeline SSH的extract_ssh_fields

(图片可点击放大查看)

(图片可点击放大查看)

语法为第三行为has_field("message")

rule "extract_ssh_fields"
when
     has_field("message")
then
    let msg = to_string($message.message);
    let msg2 = regex_replace("Invalid user", msg, "Invalid user by invalid user");
    let parsed = grok(pattern: "%{SSH}", value: msg2, only_named_captures: true);
    set_fields(parsed);
    rename_field("ssh_rip","remote_addr");
    rename_field("ssh_username","username");
end

保存并应用