SSH ログの「通常のシャットダウン、[preauth] をプレイしていただきありがとうございます」とはどういう意味ですか?

Question

最近、Logwatch の Ubuntu 12.04 サーバーの SSH ログ サマリーに、以前表示されていた「11: Bye Bye [preauth]」および「11: ユーザーによって切断されました」メッセージに加えて、「11: 通常のシャットダウン、プレイしていただきありがとうございます [preauth]」のエントリが表示されるようになりました。

この数週間前まではログにこのメッセージは表示されておらず、Ubuntu 10.04 のままになっている古いサーバーでもこのメッセージは表示されていません。このメッセージを Google で検索しましたが、明確な説明は見つかりませんでした。

ログインを試み、このメッセージを受信して​​いる IP はランダムなハッキングの試みであり、事前認証から判断すると、成功していないと想定 (希望) していますが、このメッセージの意味と他のメッセージとの違いを正確に知りたいと思います。

追加情報編集: 私のサーバーではパスワード認証とルート認証の両方が無効になっています

Answer 1

ssh クライアントが「通常の」接続シャットダウンを行うと、メッセージを含むパケットが送信されます。ssh デーモンが予期しないときにそのようなパケットを受信すると (この場合は、ユーザーが認証する前に)、メッセージがログに記録されます (OpenSSH の古いバージョンでは、これは行われませんでした)。したがって、あなたの推測はまさに正しいです。これは、ブルート フォース ssh パスワード推測攻撃の副作用です。おそらく、fail2ban や sshguard などを実行して、iptables でこれらをブロックする必要があります。パスワードを許可しないようにすべてが正しく設定されていると思っていても、2 番目の防御層を用意しておくことをお勧めします。

Answer 2

受け入れられた回答は正しいですが、管理者がこれまでログ ファイルにそのようなメッセージを表示しなかった理由を説明する変更の理由を補足するために、この回答を投稿しようと思いました。

この問題は2014年1月にOpenSSH開発者リストで議論されました。OpenSSH 開発者、Damien Miller、

メッセージは基本的にずっと存在しています:

1.41 (markus 02-Jan-01): log("%s から切断を受信しました: %d: %.400s", ...

最近変更された唯一の点は、5.9 リリースで privsep モードでの事前認証メッセージのログ記録が改善され、/dev/logprivsep chroot 内で が不要になったことです。古い OpenSSH バージョンが 5.9 未満で、/var/emptychroot に が含まれていなかった場合は/dev/log、これらのメッセージが失われていた可能性があります。

Answer 3

私も最近、サーバーの open-ssh パッケージをアップグレードして以来、ログ ファイルにこれらのメッセージが表示されることに気づきました。

ただし、メッセージが必ずしもハッキングの試みを意味するとは考えていません。一部のフレーズは、おそらく元の開発コードの名残として、正規の SSH クライアントにハードコードされています。たとえば、私の iOS SSH クライアント (iSSH) は、自分のサーバーから切断するときにこのフレーズを出力します。