Dotaz: Notifikacia uspesneho loginu (napr do imap) z IP z inej ako nastavenej krajiny

[timeos]

Ahojte

neviete niekto o nastroji/utilite, ktora robi nasledujucu funkcionalitu: posiela mail/xmpp notifikacie (adminovi, alebo userovi) ak:

• najde v logu uspesnu autentifikaciu (idealne vediet on-the-fly prebiehat existujuci log)
• a zaroven je klient IP z nejakej inej ako definovanej krajiny (GeoIP)

o co mi ide: ludia sa vacsinou prihlasuju na sietovu sluzbu z jedinej krajiny a je vysoka pravdepodobnost, ze ak autentifikacia vykonana z IP z inej krajiny, tak sa jedna o zneuzitie uctu s ukradnutymi prihlasovacimi udajmi.

Resp riesite nieco podobne aj vy? Ako to mate vyriesene? Fakty: Server, 130 ludi, nedavno zneuzite dva konta na posielanie spamu (spameri/boti sa prihlasovali zo zahranicnych IP). Objavil som to docela nahodou pri pozerani mailovej fronty.

dik

Odpovědi

[MP]

A mailserver si mame vycucat z bahna?

Pro postfix by slo pouzit napr. sieve.

[timeos]

A mailserver si mame vycucat z bahna?

tu nejde o mailserver. tu ide o to, ze kazdy mailserver uspesny login zapise do logu (auth.log, secure, maillog, to je tiez jedno). a predpokladam ze ta utilita na zaklade patternu si vytiahne dany riadok, zisti IP a vopcha do GeoIP. to, ze aky je to mailserver to fakt nie je podstatne. ale aby bol pokoj, tak je to courier-imap.

Pro postfix by slo pouzit napr. sieve.

Prosim? Bud ste nepochopili otazke alebo to, na co je sieve a ako sieve suvisi s postfixom - nijako. tu ide o vytahovanie riadkov z logov a zistovanie krajiny source IP.

[hates]

pochopili.

Udelej jednoduchy perl script, ktery cte log a potom si tu konkretni hodnotu porovna. Prace na 2h. Odesilat to muzes potom kam chces. a nebo udelat rovnou nejakou akci.

Logovat se da klidne i do pipe, ktera je provazana s tim skriptem tak ze to mas v realtime.

[timeos]

ano, aj to je riesenie. chcel som sa ale vyhnut ladeniu a inych potencionalnych nedokonalosti pouzitim niecoho existujuceho. doteraz som to nepotreboval riesit preto o nicom existujucom neviem. hladal som, ale nic rozumne nenasiel. hladal som nejaku nadstavbu nad monit alebo fail2ban, ktore log subory dokazu spracuvavat a matchovat na pattern.

[Kriegel]

Na podobnou jsem utilitu nenatrefil, nicmene v praci mi bezi monitoring konkretniho logfilu. Je to daemon napsany v perlu, zalozene je to v podstate na tomhle. Asi idealni by bylo idealni primo ty autorizacni messages filtrovat syslogem do separatniho filu, at ten daemon nemusi prochazet hektotuny irelevantnich recordu -- pokud to tedy chces postavit jen na zminene kombinaci. Pak podle zvolene periody porovnavat udaje a pri shode/neshode posilat notifikaci.

[timeos]

vdaka, asi nemam na vyber. takze na tom robim od zakladov.

[Jendа]

tail -F mail.log | while read line; do grep; cut; geoiplookup $ip | grep něco || mail pepa; done