當遇到SSH異常行為時我們通常選擇到日志服務器上被動查看和分析日志，這樣往往無法實時發現可疑IP的異常行為，下面通過OSSIM平臺大數據分析智能篩選出疑似Attack行為。

目前創新互聯公司已為1000+的企業提供了網站建設、域名、網頁空間、網站托管維護、企業網站設計、東風網站維護等服務，公司將堅持客戶導向、應用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協力一起成長，共同發展。

場景再現：
小張最近在使用某云服務器的過程中，被比特幣Hacker光顧了服務器....，損失慘重。在備份好重要資料之后，重新安裝了系統，沒過多久服務器又掛了。
在隨后的調查中，小張在服務器中發現了一些蛛絲馬跡，auth.log文件有很多不明IP通過22端口嘗試以ssh用戶名密碼的方式登錄服務器....
#grep "Failed password " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
2990 Failed
2208 222.186.50.190
654 94.102.3.151
303 106.186.21.162
299 115.239.248.90
... ... ...
... ... ...
通過日志分析很有可能SSH A t t a c k 。有什么辦法能第一時間發現此類問題呢?
下面我們通過OSSIM報警平臺實時觀察到網絡異常行為報警。

圖1 網絡異常行為可視化

點擊氣泡圖中某天的一條報警聚合信息

圖2 事件聚合

查看詳細事件

圖3 詳細日志

查看疑似異常行為主機的網絡信息以及IP地理位置信息

圖4 IP定位

圖5 關聯分析所得到的Alarm

每一條Alarm中系統提供了此事件的知識庫

圖6 KDB 信息描述

關注OSSIM公眾號可觀看視頻講解

另外有需要云服務器可以了解下創新互聯cdcxhl.cn，海內外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業上云的綜合解決方案，具有“安全穩定、簡單易用、服務可用性高、性價比高”等特點與優勢，專為企業上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。

分享名稱：用OSSIM可視化顯示SSH異常行為-創新互聯
標題URL：http://vcdvsql.cn/article48/csciep.html

成都網站建設公司_創新互聯，為您提供云服務器、手機網站建設、定制開發、搜索引擎優化、App設計、網站設計

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯