SSHのログから見る利用を避けたいユーザ名

某所で運用しているサーバの話なんですが、割と"SSH Brute Force Attack"がヒドく、対策を行わないといけないんですが、せっかくなので、攻撃者がどんなユーザ名でログインを試みているかの統計を取ってみました。

SSH総当り攻撃(Brute Force Attack)の傾向から利用を避けたいユーザ名 - RX-7乗りの適当な日々

おもしろそうなので，便乗してみる．某所のサーバからです．

# cat /var/log/secure* | grep 'Invalid' | awk '{print $8}' |
sort | uniq -c | sort -nr | head -n 100
   1306 test
    723 admin
    666 a
    376 guest
    363 user
    332 oracle
    255 tester
    207 postgres
    171 testing
    169 webmaster
    163 testuser
    157 123456
    155 ftpuser
    151 student
    138 info
    132 test1
    129 temp
    126 alex
    117 123
    115 12345
    108 web
    106 administrator
    104 qwerty
     98 test2
     98 test123
     97 sales
     97 john
     95 tomcat
     94 dan
     94 1234
     93 testftp
     90 adam
     89 paul
     88 zxcvb
     88 sarah
     86 richard
     85 tests
     85 nagios
     84 robert
     83 webadmin
     82 matt
     80 master
     80 fax
     80 demo
     78 user1
     78 patrick
     78 frank
     78 eric
     76 toor
     76 david
     76 backup
     75 abc
     71 www
     71 support
     71 kevin
     70 amanda
     69 mike
     68 michael
     67 adrian
     66 stephen
     65 office
     64 steven
     63 james
     62 wwwrun
     61 irc
     61 andy
     61 abcde
     61 abcd
     60 victor
     60 jack
     59 lisa
     59 larry
     58 public
     58 max
     57 service
     57 martin
     56 peter
     56 dave
     55 jacob
     55 carol
     54 test3
     54 scott
     54 sandy
     53 upload
     53 tony
     53 louise
     53 linda
     52 shell
     52 maria
     52 library
     52 jessica
     51 ben
     50 brian
     49 students
     49 linux
     49 client
     49 bill
     48 victoria
     48 mailtest
     48 cyrus

なるほどなるほど．こういうユーザ名をログイン可能にしておいてはいけないんですね．わかりました．ちなみに，現所属サーバだとsshに制限をかけているので，情報が少ない・・・．

# cat auth* |grep 'Invalid' |awk '{print $8}' |sort |uniq -c |sort -nr
      1 toor
      1 test
      1 staff
      1 spd
      1 oracle1
      1 master
      1 admin

効果はあるようだ．

まとめ：
sshは公開鍵認証で．