用OSSIM可视化显示SSH异常行为
admin
2023-02-24 07:40:07
0次

当遇到SSH异常行为时我们通常选择到日志服务器上被动查看和分析日志，这样往往无法实时发现可疑IP的异常行为，下面通过OSSIM平台大数据分析智能筛选出疑似Attack行为。

场景再现：
小张最近在使用某云服务器的过程中，被比特币Hacker光顾了服务器....，损失惨重。在备份好重要资料之后，重新安装了系统，没过多久服务器又挂了。
在随后的调查中，小张在服务器中发现了一些蛛丝马迹，auth.log文件有很多不明IP通过22端口尝试以ssh用户名密码的方式登录服务器....
#grep "Failed password " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
2990 Failed
2208 222.186.50.190
654 94.102.3.151
303 106.186.21.162
299 115.239.248.90
... ... ...
... ... ...
通过日志分析很有可能SSH A t t a c k 。有什么办法能第一时间发现此类问题呢?
下面我们通过OSSIM报警平台实时观察到网络异常行为报警。
用OSSIM可视化显示SSH异常行为
图1 网络异常行为可视化

点击气泡图中某天的一条报警聚合信息
用OSSIM可视化显示SSH异常行为
图2 事件聚合

查看详细事件
用OSSIM可视化显示SSH异常行为
图3 详细日志

查看疑似异常行为主机的网络信息以及IP地理位置信息
用OSSIM可视化显示SSH异常行为
图4 IP定位

用OSSIM可视化显示SSH异常行为
图5 关联分析所得到的Alarm

每一条Alarm中系统提供了此事件的知识库
用OSSIM可视化显示SSH异常行为
图6 KDB 信息描述

用OSSIM可视化显示SSH异常行为

用OSSIM可视化显示SSH异常行为

关注OSSIM公众号可观看视频讲解
用OSSIM可视化显示SSH异常行为

上一篇：Centos 7搭建LNMP架构及部署Discuz论坛

下一篇：docker网络模式

相关内容

热门资讯

“五一”小长假黄金零售市场新变... 【大河财立方 记者 孙凯杰】 “五一”小长假，黄金价格出现一波短暂调整，线下黄金零售市场热度如何?5...
以军3周来首次袭击黎巴嫩首都 据以色列总理内塔尼亚胡和国防部长卡茨当地时间5月6日晚发表的联合声明，以军当天对黎巴嫩首都贝鲁特南郊...
东莞移动：5G-A智擎护航， ... “五一”期间，松山湖草莓音乐节、广东国际汽车展示交易会·春季、2026茶园游会田园文化美食节、大岭山...
汉阳“知音数创”AI智能体创新... 4月30日，武汉市汉阳区数智产业推介会暨汉阳“知音数创”AI智能体创新大赛启动仪式在武汉基金产业基地...
伊朗最高领袖军事顾问：美国必须... 当地时间5月6日，伊朗最高领袖军事顾问穆赫辛·雷扎伊在接受采访时表示，伊朗不允许美国在不付出代价的情...
瑞士确诊、法国密接、西班牙待命... 综合法媒报道，国际探险邮轮“洪迪厄斯”号上的汉坦病毒事件，正从南美航程延伸至欧洲语境。最新进展显示，...
AMD锐龙X3D快到把游戏跑崩... 快科技5月6日消息，在Apex英雄最新Overclocked补丁中，修复了一个颇为尴尬的问题：AMD...
重磅|第十九届智慧城市大会将于... 2026年7月16日-18日，第十九届智慧城市大会将在天津社会山国际会议中心举办。本届大会由中国服务...
奥巴马暗批特朗普：不应将司法与... 美国前总统奥巴马近日在接受采访时，借列举总统权力被滥用的多个例子，含蓄批评总统特朗普，但全程未直接点...
三星宣布：在中国大陆市场停止销... 【大河财立方消息】5月6日，三星（中国）投资有限公司发布通知称，为应对急剧变化的市场环境，经慎重研究...