我的 /var/log/btmp 文件很大！我该怎么办？

Question

我的/var/log/btmp文件大小为 1.3 GB。我读过该文件是“用于存储有关登录失败的信息”。

这对我的服务器意味着什么？我可以删除这个文件吗？

Answer 1

这意味着人们正试图暴力破解您的密码（在任何面向公众的服务器上都很常见）。

清除这个文件应该不会造成任何伤害。

减少这种情况的一种方法是将 SSH 的端口从 22 更改为任意值。为了一些额外的安全性，DenyHosts可以在一定数量的失败后阻止登录尝试。我强烈建议安装和配置它。

Answer 2

fail2ban对于必须保持面向互联网的 22 端口 SSH 的机器也有很大帮助。它可以配置为使用具有灵活阈值的 hosts.allow 或 iptables。

Answer 3

您还可以使用 lastb 命令检查文件并确定 IP 号，并可能阻止 IP 号或网络进一步访问您的机器。这还将提供有关被黑客入侵的帐户的信息。很可能它是 root 但你永远不知道

Answer 4

尽管我编写了脚本，但我所做的是使用如下命令：

lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'

**“^192”是我的本地网络第一个八位字节（不可路由）我自动执行此操作（也编写了脚本），如下所示：

for i in `lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'`; do iptables -A INPUT -s $i -j DROP ; done
iptables-save

或者

for i in `lastb -a | awk '{print $10}' | grep -v ^192 | sort | uniq | sed '/^$/d'`
do
iptables -A INPUT -s $i -j DROP
done
iptables-save

只是寻找可见性的不同......这对我很有效

至于 /var/log/btmp 文件的大小，您需要为此启用 logrotate - 看看你的 logrotate conf 文件是否正在旋转类似的文件，以了解如何执行此操作 - 通常在 /etc/logrotate.d/ 中 - 看看在 syslog 或 yum 中查看格式，然后 man logrotate 将显示所有选项。C4

Answer 5

echo '' > /var/log/btmp

这将重新获得空间。留一点填充然后实现 iptables，更改 ssh 端口或安装和配置 fail2ban