用OSSIM可视化显示SSH异常行为
admin
2023-02-24 07:40:07
0次

当遇到SSH异常行为时我们通常选择到日志服务器上被动查看和分析日志，这样往往无法实时发现可疑IP的异常行为，下面通过OSSIM平台大数据分析智能筛选出疑似Attack行为。

场景再现：
小张最近在使用某云服务器的过程中，被比特币Hacker光顾了服务器....，损失惨重。在备份好重要资料之后，重新安装了系统，没过多久服务器又挂了。
在随后的调查中，小张在服务器中发现了一些蛛丝马迹，auth.log文件有很多不明IP通过22端口尝试以ssh用户名密码的方式登录服务器....
#grep "Failed password " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
2990 Failed
2208 222.186.50.190
654 94.102.3.151
303 106.186.21.162
299 115.239.248.90
... ... ...
... ... ...
通过日志分析很有可能SSH A t t a c k 。有什么办法能第一时间发现此类问题呢?
下面我们通过OSSIM报警平台实时观察到网络异常行为报警。
用OSSIM可视化显示SSH异常行为
图1 网络异常行为可视化

点击气泡图中某天的一条报警聚合信息
用OSSIM可视化显示SSH异常行为
图2 事件聚合

查看详细事件
用OSSIM可视化显示SSH异常行为
图3 详细日志

查看疑似异常行为主机的网络信息以及IP地理位置信息
用OSSIM可视化显示SSH异常行为
图4 IP定位

用OSSIM可视化显示SSH异常行为
图5 关联分析所得到的Alarm

每一条Alarm中系统提供了此事件的知识库
用OSSIM可视化显示SSH异常行为
图6 KDB 信息描述

用OSSIM可视化显示SSH异常行为

用OSSIM可视化显示SSH异常行为

关注OSSIM公众号可观看视频讲解
用OSSIM可视化显示SSH异常行为

上一篇：Centos 7搭建LNMP架构及部署Discuz论坛

下一篇：docker网络模式

相关内容

热门资讯

山西洪洞发生黄土崩塌，致5人死... 今天（25日）上午，记者从山西省洪洞县应急管理局获悉，洪洞县好义村黄土崩塌受困人员已全部找到。其中，...
瑞尔塔完成核聚变装置内直接能量... （来源：电力国际汇epintl） 六月早些时候，《聚变能源报道》曾刊发过瑞尔塔聚变公司（Realta...
中海油服获得发明专利授权：“一... 证券之星消息，根据天眼查APP数据显示中海油服（601808）新获得一项发明专利授权，专利名为“一种...
特朗普：301关税正式接棒，已... 据凤凰卫视报道，特朗普24日在白宫回应多项议题，强调最高法院推翻旧关税法源后，政府已改采新的法律依据...
夫妇雨天出门疑被电身亡，现场有... 7月24日，新京报记者多方核实获悉，陕西宝鸡永清村22日晚突发雷暴雨，一对中年夫妇雨天在村中道路疑被...
游戏掌机存储卡推荐：三星 T7... 当游戏加载条变短、4K视频秒录、掌机库一键随行——存储不该是妥协的理由。 三星T7，1TB大容量m...
宇树科技创始人兼CEO王兴兴登... 王兴兴登上时代封面。 当地时间7月23日，宇树科技创始人兼CEO王兴兴与其载人机甲产品GD01共同登...
今天，我们想的不仅是“上天”的... （一） 一箭5星！再传捷报！ 7月24日，我国使用力箭一号遥十五运载火箭，成功将5颗卫星发射升空，卫...
携程被罚没51.79亿元 7月25日，市场监管总局依法对携程集团有限公司（以下简称携程）滥用市场支配地位实施垄断行为作出行政处...
多地停运停航停课，台风“红霞”... 中央气象台7月25日06时继续发布台风橙色预警：今年第12号台风“红霞”已于今天（25日）早晨由强热...