☰

[UFW BLOCK] 항목에서 소스 MAC을 어떻게 추출합니까?

tag-icon • tag-icon ufw
[UFW BLOCK] 항목에서 소스 MAC을 어떻게 추출합니까?

다음 UFW 블록 항목이 있습니다. 소스 MAC을 어떻게 얻나요? 포트 스캐닝을 수행하는 동일한 MAC=e8:11:32:cb:d9:42:54:04:a6:ba:22:f8:08:00에서 많은 정보를 얻고 있습니다. 중요한 경우 12.04 LTS를 사용하고 있습니다.

Feb  4 17:46:06 ChromeBox-Server kernel: [663960.096168] [UFW BLOCK] IN=eth0 OUT= MAC=e8:11:32:cb:d9:42:54:04:a6:ba:22:f8:08:00 SRC=123.129.216.39 DST=192.168.1.10 LEN=48 TOS=0x00 PREC=0x20 TTL=115 ID=49547 PROTO=TCP SPT=1535 DPT=22 WINDOW=65535 RES=0x00 SYN URGP=0

답변1

MAC=e8:11:32:cb:d9:42:54:04:a6:ba:22:f8:08:00다음과 같이 분해될 수 있다

  • 대상 MAC(이 경우 수신 패킷이므로 카드의 MAC 주소입니다.):e8:11:32:cb:d9:42

  • 소스 MAC:54:04:a6:ba:22:f8

  • 에테르 유형:08:00

따라서 소스 MAC을 프로그래밍 방식으로 추출하려면 다음과 같이 할 수 있습니다.

cat ufw.log | awk '{print $11}' | cut -d ':' -f7-12

답변2

네트워크 설정에서 IPv6 주소를 사용하고 있는 것 같습니다. MAC=e8:11:32:cb:d9:42:54:04:a6:ba:22:f8:08:00IPv6 주소도 마찬가지이며 현재 네트워크 연결의 주소일 수도 있습니다. 실제 MAC(미디어 액세스 제어) 주소는 6개의 16진수 그룹으로 구성됩니다 aa:bb:11:12:34:56.

이것의 출납원은 DPT=22. 그들은 열린 SSH 포트를 찾으려고 노력하고 있습니다. 포트 22가 열려 있지 않으면 괜찮습니다(일반적으로 권장하지 않음). 포트 22가 열려 있거나 열려 있어야 하는 경우 사용자 이름/비밀번호 조합이 강력하기를 바랍니다. 다음과 같은 것을 확인하고 싶을 수도 있습니다.Fail2Ban이는 SSH 로그인을 포함하여 여러 번의 로그인 시도 실패 후 임시 차단을 적용합니다.

동일한 IP로 지속적으로 포트 스캔을 받는 경우 - 해당 IP에 대해 UFW에서 또는 규칙을 SRC=123.129.216.39설정하세요 .DENYDROPsudo ufw deny from 123.129.216.39

관련 정보