☰

Запись в журнале Rsyslogd об атаке, созданной неизвестным приложением

tag-icon • tag-icon linux debian logging
Запись в журнале Rsyslogd об атаке, созданной неизвестным приложением

У меня есть сервер, работающий в целях тестирования, который недавно поймал несколько странных записей в журналах /var/log/syslog, /var/log/user.log и /var/log/messages. auth.log не показывает ничего подозрительного. Ни один (человек) не должен был войти в систему в это время.

На сервере практически не запущено программное обеспечение, только демон sshd.

Записи журнала не раскрывают, какая программа их создала, но, по-видимому, они возникают в результате сканирования портов и зондирования.

У кого-нибудь есть идеи, откуда могут появляться эти сообщения? (SOMEDATETIME — время записи в журнале, а SOMEIP — неизвестный IP-адрес)

SOMEDATETIME GET / HTTP/1.0#015
SOMEDATETIME SOMEIP #015 
SOMEDATETIME SOMEIP #015 
SOMEDATETIME SOMEIP #015 
SOMEDATETIME OPTIONS / HTTP/1.0#015
SOMEDATETIME SOMEIP #015 
SOMEDATETIME OPTIONS / RTSP/1.0#015
SOMEDATETIME SOMEIP #015 
SOMEDATETIME SOMEIP HELP#015 
SOMEDATETIME SOMEIP #026#003#000#000S#001#000#000O#003#000?G���,���`~�#000��{�Ֆ�w����<=�o�#020n#000#000(#000#026#000#023 
SOMEDATETIME SOMEIP #026#003#000#000i#001#000#000e#003#003U#034��random1random2random3random4#000#000#014#000/ 
SOMEDATETIME SOMEIP #000#000#000qj�n0�k�#003#002#001#005�#003#002#001 
SOMEDATETIME GET /nice%20ports%2C/Tri%6Eity.txt%2ebak HTTP/1.0#015
SOMEDATETIME SOMEIP #015 
SOMEDATETIME SOMEIP #001default 
SOMEDATETIME SOMEIP #002 
SOMEDATETIME OPTIONS sip: nm SIP/2.0#015
SOMEDATETIME SOMEIP Via: SIP/2.0/TCP nm;branch=foo#015
SOMEDATETIME SOMEIP From: <sip:nm@nm>;tag=root#015
SOMEDATETIME SOMEIP To: <sip:nm2@nm2>#015
SOMEDATETIME SOMEIP Call-ID: 50000#015
SOMEDATETIME SOMEIP CSeq: 42 OPTIONS#015
SOMEDATETIME SOMEIP Max-Forwards: 70#015
SOMEDATETIME SOMEIP Content-Length: 0#015
SOMEDATETIME SOMEIP Contact: <sip:nm@nm>#015
SOMEDATETIME SOMEIP Accept: application/sdp#015
SOMEDATETIME SOMEIP #015

решение1

Это результат того, что кто-то запустил сканирование Nmap на вашем сервере — Nmap находит открытый порт TCP, а затем отправляет различные пакеты, пытаясь выяснить, активен ли на этом порту какой-либо из ряда распространенных типов служб (HTTP, RTSP, SIP,...).

(Я только что попробовал запустить Zenmap 7.40 на серверном приложении, которое я разрабатываю, и зарегистрировал точно такую ​​же последовательность строк).

решение2

Я обнаружил, что объяснение такого поведения кроется в конфигурации rsyslog. По умолчанию rsyslog принимает входные данные UDP с порта 514 и регистрирует все входящие пакеты в файлах сообщений, syslog и usr.log. Это происходит потому, что rsyslog также настроен на работу в качестве удаленной службы регистрации по умолчанию. Это можно отключить, закомментировав

#$ModLoad imudp
#$UDPServerRun 514
#$ModLoad imtcp
#$InputTCPServerRun 514

в /etc/rsyslog.conf

решение3

Представленный вами журнал не очень полезен: неясно, всегда ли SOMEIP одинаков или нет, сильно ли отличаются SOMEDATETIME, происходят ли они все в одном пакете или сгруппированы вокруг небольшого количества временных интервалов.

В любом случае, это в основном попытки связаться с вашим веб-сервером, который вы не используете, поэтому сообщения записываются в /var/log вместо /var/log/apache2или что-то в этом роде. Кажется немного странным, что кто-то прикладывает столько усилий, чтобы попытаться открыть веб-сервер, который не слушает, пожалуйста, убедитесь, что вы это делаетенетиметь работающий веб-сервер, проверив вывод

 ss -lntp

для серверов, прослушивающих стандартные (80,443) или нестандартные порты.

Оставшиеся логи становятся более интересными, поскольку они фиксируют попытки связаться с АТС через ваш веб-сервер, АТС, которую, согласно вашему OP, вы не используете. Тем не менее, протокол (SIP), адрес, <sip:nm@nm>иПротокол описания сеанса( Accept: application/sdp) все это говорит само за себя.

Еще раз, вы уверены, что не используетеАТС? Похоже, кто-то подложил его на вашу машину. Опять же,есливы считаете, что ваша машина не была нарушена, команда

ss -lnup

(для протокола UDP вместо протокола TCP) сообщит вам, какой процесс прослушивает какой порт.

Но, если ваша машина была взломана, вышесказанное может не сообщать ничего подозрительного, хотя на самом деле происходит много противозаконного. Вы можете попытаться успокоить свои страхи (обоснованные, увы), загрузив и запустив chkrootkitи rkhunter. Вы также можетечитать здесь(извините за ссылку на мой собственный ответ, я знаю, что это нехорошо, но это экономит мне немного работы). И прежде всего, вы должны спросить себя:Я отключил парольный вход по SSH и вместо этого ввел криптографические ключи?Если ответ на этот вопросНет, то есть вероятность, что ваша машина была взломана. Затем вам следует переустановить ее с нуля и следовать инструкциям выше, чтобы отключить вход по паролю sshв пользу использования открытых/закрытых ключей, которые намного безопаснее.

Связанный контент