Мой /var/log/btmp файл имеет размер 1,3 ГБ. Я читал, что в этом файле хранится информация о неудачном входе в систему.
Что это значит для моего сервера? А можно этот файл удалить?
Это означает, что люди пытаются подобрать ваши пароли (обычное дело на любом публичном сервере).
Очистка этого файла не должна причинить вреда.
Один из способов уменьшить это - изменить порт для SSH с 22 на какой-нибудь произвольный. Для дополнительной безопасности DenyHosts может блокировать попытки входа в систему после определенного количества неудач. Я очень рекомендую установить и настроить его.
fail2ban также может быть большим подспорьем для машин, которые должны иметь выход в Интернет, порт 22 SSH. Его можно настроить для использования hosts.allow или iptables с гибкими порогами.
Вы также можете проверить файл с помощью команды lastb и определить IP-номер и, возможно, заблокировать IP-адрес или сеть от дальнейшего доступа к вашей машине. Это также предоставит информацию о взломанной учетной записи. Скорее всего это будет root но мало ли
Что я делаю, хотя и пишу сценарий, я использую такую команду:
lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'
** «^ 192» - это первый октет моей локальной сети (немаршрутизируемый). Я автоматизирую это (тоже по сценарию) следующим образом:
for i in `lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'`; do iptables -A INPUT -s $i -j DROP ; done
iptables-save
Или
for i in `lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'`
do
iptables -A INPUT -s $i -j DROP
done
iptables-save
Просто другой вид для видимости ... Мне это подходит
Что касается размера файла / var / log / btmp, вам нужно включить logrotate для этого - посмотрите на ваш файл logrotate conf для аналогичного файла, который вращается, чтобы узнать, как это сделать - обычно в /etc/logrotate.d/ - посмотрите в syslog или yum для выбора формата, а man logrotate покажет вам все варианты. C4
echo ‘’ > /var/log/btmp
Это вернет пространство. Оставьте немного, чтобы немного заполнить, затем реализуйте iptables, измените порт ssh или установите и настройте fail2ban