Contexte
Les tentatives d'intrusion pour corruption ou vol de données ne doivent pas être sous estimées dans le cadre de votre supervision de vos postes et serveurs Linux.
Ce script a donc été conçu pour vous permettre de garder le maximum de vigilance sur les échecs de connexion sur votre parc.
Le check Connections Failed SSH va vérifier vos logs dans un laps de temps donné ( 24h par défaut, modifiable dans les données ) et vous donner le nombre total, et un tableau comportant une ligne par, trio IP-Host-Interface ( dans le cas d'une connexion réseau ) et couple Host-Interface ( dans le cas d'une connexion locale sans adresse IP ).
Vous obtiendrez alors le nombre de tentatives au cas pas cas, la date de la première et de la dernière tentative, et les informations précédemment énoncées. Le tableau est classé par le nombre total de tentative de connexion pour le trio IP-Host-Interface ou Host-Interface.
Les deux seuils configurables concernent le total des connexions échouées.
Paramétrage
Le check utilise la ligne de commande suivante :
$USERPLUGINSDIR$/linux_by_ssh/check_connection_failed_by_ssh_rust -H "$HOSTADDRESS$" -u "$_HOSTSSH_USER$" -p "$_HOSTSSH_PORT$" -i "$_HOSTSSH_KEY$" -P "$_HOSTSSH_KEY_PASSPHRASE$" -w "$_HOSTCONNECTION_WARNING$" -c "$_HOSTCONNECTION_CRITICAL$" -l "$_HOSTCONNECTION_INTERFACE$" -t "$_HOSTCONNECTION_TIME_LIMIT$" |
Données utilisées provenant du modèle
| Donnée | Description | Valeur par défaut |
|---|---|---|
| CONNECTION_CRITICAL | Définit le nombre de connexions échouées à partir duquel le check passe en critical | 10 |
| CONNECTION_INTERFACE | Interface de connexion à prendre en compte dans le check, séparées par des virgules | ssh,tty |
| CONNECTION_TIME_LIMIT | Nombre d'heures prises en compte dans le check | 24 |
| CONNECTION_WARNING | Définit le nombre de connexions échouées à partir duquel le check passe en warning | 5 |
Données utilisées provenant du check
Pas de données spécifiques pour ce check
Résultat
Interprétation des données
- Statut :
Le statut peut prendre 4 valeurs différentes ( OK / WARNING / CRITICAL / UNKNOWN ).- Le seuil du statut WARNING est de 5
- Le seuil du statut CRITICAL est 10
- Résultat :
Le résultat contient un message indiquant le statut ainsi que le nombre de connexion échouée les dernières 24 heures
- Résultat Long :
Le résultat long contient un tableau qui liste la date, l'IP, l'utilisateur, le nombre de tentative, l'interface et la date de la première connexion pour chaque tentative de connexion.
Métriques
| Nom de la métrique | Description |
|---|---|
| connection_failed | Nombre de connexion échouées |