加强Linux防线,快速构建异常登录检测,并通过钉钉机器人把告警推送到钉钉工作群上

本文主要是介绍加强Linux防线,快速构建异常登录检测,并通过钉钉机器人把告警推送到钉钉工作群上,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

在管理和维护Linux服务器时,安全是一个非常重要的方面。监控登录异常可以帮助管理员及时发现潜在的安全问题,比如多次失败的登录尝试、来自未知IP的访问等。本文将介绍如何编写一个Shell脚本,监控Linux服务器的登录异常并发送警报。

工作场景

运维工程师小张负责管理公司的多台Linux服务器。为了确保服务器的安全性,小张需要定期监控服务器的登录记录,尤其是关注异常的登录行为,例如多次失败的登录尝试或者来自不常见IP地址的登录。通过自动化脚本,小张可以及时获取异常登录的警报,从而采取必要的安全措施。

脚本功能概述

我们将编写一个Shell脚本,实现以下功能:

  1. 定期检查系统日志,获取登录失败的记录。

  2. 识别多次失败的登录尝试和来自未知IP的登录,并查询这些IP的归属地

  3. 将异常情况记录到日志文件。

  4. 把告警信息推送到钉钉群。

准备工作

在开始编写脚本之前,需要在钉钉群创建一个机器人,机器人的类别选择webhook,如下图所示:

目前钉钉webhook强制要求了加签关键字IP,3选一,关键字最简单,如下图所示:

关键字的作用是你发送的消息体一定要包括关键字才能触发。

执行下面代码测试机器人是否配置成功。

curl "https://oapi.dingtalk.com/robot/send?access_token=你的密钥" -H 'Content-Type: application/json'  -d '{"msgtype": "text","text": {"content":"监控报警:异常登录"}}'

成功执行,会在钉钉群上看到如下图消息:

编写监控脚本

该脚本主要用于监控 Linux服务器的登录日志文件 以检测登录失败的情况,并将告警信息发送到钉钉。当检测到关键词pam_unix(sshd:auth): authentication failure时,脚本提取日志中的IP地址和用户名。然后,通过调用ipinfo.io API 查询该IP地址的归属地信息(包括国家、城市和地区),并将这些信息准备发送到钉钉。

  1. 设置日志文件路径和钉钉WebHook URL
LOG_FILE="/var/log/auth.log"
WEBHOOK_URL="https://oapi.dingtalk.com/robot/send?access_token=you_token"
  1. 定义关键词,用于检测登录失败。
KEYWORD="pam_unix(sshd:auth): authentication failure"
  1. 实时监控日志文件
tail -Fn0 "$LOG_FILE" | while read line ; do
  1. 检查是否包含关键词
echo "$line" | grep "$KEYWORD" &> /dev/null
if [ $? = 0 ]
then
  1. 提取IP地址和登录用户名
IP=$(echo "$line" | awk '{for(i=1;i<=NF;i++){if($i ~ /rhost=/){print $i}}}' | cut -d '=' -f 2)
USER=$(echo "$line" | awk '{for(i=1;i<=NF;i++){if($i ~ /^user=/){print $i}}}' |cut -d '=' -f 2)
  1. 查询IP的归属地信息
location=$(curl -s ipinfo.io/$IP | jq -r '" Country: \(.country), City: \(.city), Region: \(.region)"')
  1. 构建消息内容
    PAYLOAD=$(cat <<-EOF
{       
"msgtype": "markdown",
"markdown": {
"title":"监控报警:异常登录",
"text":"
##### Linux服务器监控报警:异常登录 \n
>  ##### <font color=#67C23A> 【登录用户】</font> :<font color=#FF0000> $USER</font>
>  ##### <font color=#67C23A> 【登录IP】</font> :<font color=#FF0000> $IP </font> 
>  ##### <font color=#67C23A> 【IP归属地】</font> :<font color=#FF0000> $location </font> 
>  ##### <font color=#67C23A> 【告警时间】</font> :<font color=#FF0000> $(date +"%Y-%m-%d %H:%M:%S") </font> 
"
}
}
EOF)
  1. 把告警信息推送到钉钉
curl -s -H "Content-Type: application/json" -d "$PAYLOAD" "$WEBHOOK_URL" &>/dev/null

脚本使用

在要监控的服务器上新建一个名为monitor_login.sh,把脚本内容复制到文件中如下图:

并为脚本赋予执行权限,如下:

运行如下命令,启动脚本:

root@didiplus:/home# ./monitor_login.sh

在另外一台机器上模拟登录失败,这时,监控服务器会出现如下图所示:

然后,在钉钉群上可以看到如下告警信息:

总结

通过上述脚本,运维人员可以有效地监控Linux服务器的登录异常情况,及时发现并处理潜在的安全问题。该脚本通过解析系统日志,识别多次失败的登录尝试和来自未知IP的登录,并通过钉钉方式通知管理员,实现了对登录异常的实时监控。希望这篇教程能帮助到你,提高服务器的安全管理水平。

如果对该脚本感兴趣的小伙伴可以关注公众号《攻城狮成长日记》私信回复脚本即可获取。

这篇关于加强Linux防线,快速构建异常登录检测,并通过钉钉机器人把告警推送到钉钉工作群上的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1082628

相关文章

Spring Boot Maven 插件如何构建可执行 JAR 的核心配置

《SpringBootMaven插件如何构建可执行JAR的核心配置》SpringBoot核心Maven插件,用于生成可执行JAR/WAR,内置服务器简化部署,支持热部署、多环境配置及依赖管理... 目录前言一、插件的核心功能与目标1.1 插件的定位1.2 插件的 Goals(目标)1.3 插件定位1.4 核

使用Python构建一个高效的日志处理系统

《使用Python构建一个高效的日志处理系统》这篇文章主要为大家详细讲解了如何使用Python开发一个专业的日志分析工具,能够自动化处理、分析和可视化各类日志文件,大幅提升运维效率,需要的可以了解下... 目录环境准备工具功能概述完整代码实现代码深度解析1. 类设计与初始化2. 日志解析核心逻辑3. 文件处

Ubuntu 24.04启用root图形登录的操作流程

《Ubuntu24.04启用root图形登录的操作流程》Ubuntu默认禁用root账户的图形与SSH登录,这是为了安全,但在某些场景你可能需要直接用root登录GNOME桌面,本文以Ubuntu2... 目录一、前言二、准备工作三、设置 root 密码四、启用图形界面 root 登录1. 修改 GDM 配

Linux进程CPU绑定优化与实践过程

《Linux进程CPU绑定优化与实践过程》Linux支持进程绑定至特定CPU核心,通过sched_setaffinity系统调用和taskset工具实现,优化缓存效率与上下文切换,提升多核计算性能,适... 目录1. 多核处理器及并行计算概念1.1 多核处理器架构概述1.2 并行计算的含义及重要性1.3 并

nginx 负载均衡配置及如何解决重复登录问题

《nginx负载均衡配置及如何解决重复登录问题》文章详解Nginx源码安装与Docker部署,介绍四层/七层代理区别及负载均衡策略,通过ip_hash解决重复登录问题,对nginx负载均衡配置及如何... 目录一:源码安装:1.配置编译参数2.编译3.编译安装 二,四层代理和七层代理区别1.二者混合使用举例

Linux线程之线程的创建、属性、回收、退出、取消方式

《Linux线程之线程的创建、属性、回收、退出、取消方式》文章总结了线程管理核心知识:线程号唯一、创建方式、属性设置(如分离状态与栈大小)、回收机制(join/detach)、退出方法(返回/pthr... 目录1. 线程号2. 线程的创建3. 线程属性4. 线程的回收5. 线程的退出6. 线程的取消7.

Linux下进程的CPU配置与线程绑定过程

《Linux下进程的CPU配置与线程绑定过程》本文介绍Linux系统中基于进程和线程的CPU配置方法,通过taskset命令和pthread库调整亲和力,将进程/线程绑定到特定CPU核心以优化资源分配... 目录1 基于进程的CPU配置1.1 对CPU亲和力的配置1.2 绑定进程到指定CPU核上运行2 基于

golang程序打包成脚本部署到Linux系统方式

《golang程序打包成脚本部署到Linux系统方式》Golang程序通过本地编译(设置GOOS为linux生成无后缀二进制文件),上传至Linux服务器后赋权执行,使用nohup命令实现后台运行,完... 目录本地编译golang程序上传Golang二进制文件到linux服务器总结本地编译Golang程序

Linux下删除乱码文件和目录的实现方式

《Linux下删除乱码文件和目录的实现方式》:本文主要介绍Linux下删除乱码文件和目录的实现方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux下删除乱码文件和目录方法1方法2总结Linux下删除乱码文件和目录方法1使用ls -i命令找到文件或目录

Linux在线解压jar包的实现方式

《Linux在线解压jar包的实现方式》:本文主要介绍Linux在线解压jar包的实现方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux在线解压jar包解压 jar包的步骤总结Linux在线解压jar包在 Centos 中解压 jar 包可以使用 u