Файл журнала для попыток SSH?

Question

У меня есть старый Macbook под управлением Yosemite, который я подключил к интернету через сеть моего колледжа. Я по глупости включил ssh-доступ, когда у моего компьютера был слабый пароль, и теперь я хочу проверить файл журнала моего компьютера, чтобы узнать, пытался ли кто-нибудь злоумышленник попытаться войти в мой компьютер (и, возможно, взломать мой пароль).

Какой файл журнала я должен посмотреть?

* Примечание: как долго я должен сделать свой пароль таким, чтобы я мог чувствовать себя защищенным от атак методом перебора через ssh?

Answer 1

Попытки входа в SSH регистрируются в /var/log/system.log . Grep для sshd в этом файле, и вы получите логины.

Вот пример неудачного входа в систему, за которым следует успешный вход в систему:

% grep sshd /var/log/system.log
Nov 10 22:30:22 Lanfear.local sshd[98443]: error: PAM: authentication error for teun from localhost via 127.0.0.1
Nov 10 22:30:36 Lanfear.local sshd[98443]: Accepted keyboard-interactive/pam for teun from 127.0.0.1 port 51239 ssh2
Nov 10 22:30:36 Lanfear.local sshd: teun [priv][98443]: USER_PROCESS: 98453 ttys004

Если вы беспокоитесь о попытках перебора пароля, то лучше всего отключить аутентификацию по паролю и использовать только аутентификацию на основе ключей. Вы можете отключить аутентификацию на основе пароля, отредактировав /etc/sshd_config изменив ChallengeResponseAuthentication yes на ChallengeResponseAuthentication no . Убедитесь, что ваши SSH-ключи работают, прежде чем вы это сделаете, иначе вы не сможете войти удаленно.

Не существует фиксированного правила, когда пароль слабый или сильный, но в целом при использовании паролей я бы использовал фразу-пароль, состоящую из нескольких слов и некоторых чисел и / или путаницы.