- PR -

Debian: Swatch にて不正アクセス監視かつiptables動的作成

1
投稿者投稿内容
Grandadbob
会議室デビュー日: 2006/11/16
投稿数: 4
投稿日時: 2006-11-16 16:56
サーバーに対するある特定のIPアドレスから不正なアクセスが3回以上試みた場合、動的に iptable にてそのトラフィックを drop するため、swatch にて常時ログ監視かつ、スクリプトにて iptable にリストを追加するということを行いたいと考えております。必要なパッケージとして swatch をインストールしようとしたのですが、そのインストで問題が発生しております。

apt-get install swatch にて swatch のパッケージをインストールしたのですが、/etc/init.d/swatch と /etc/swatch.conf の肝心の両ファイルが存在しません。下記公式サイトにてパッケージ内容を確認したのですが、そのリストに該当の2つのファイルが存在しませんでした。

http://packages.debian.org/stable/admin/swatch

無理矢理、自分でファイルを作成し、/etc/init.d/swatch start と起動を試みたのですが、

: bad interpreter: No such file or directory

と言うエラーメッセージを受け取ってしまいました。そのファイルは間違いなく存在するのですが…。

./sh /etc/init.d/swatch をすると

: numeric argument required: exit: 0

というエラーが帰ってきます。

/etc/init.d/swatch の設定ファイルとして参考にしたのが、下記サイトです。

http://www.kids-clinic.jp/uni/deb_sec.html

どなたか、問題解決方法をご存知でしたら、よろしくお願い致します。
Ay
常連さん
会議室デビュー日: 2006/10/29
投稿数: 45
投稿日時: 2006-11-16 23:44
引用:

: numeric argument required: exit: 0

こちらはわかりませんが、
引用:

: bad interpreter: No such file or directory

こちらは、/etc/init.d/swatch の1行目に記載されているシェバング(#!/bin/shとか)が誤っているのが原因だと思います。
1行目のインタプリタのパスがあっているか、改行コードがLFかを確認してみてはどうでしょうか。

あとは、/etc/init.d/swatch に原因があるのか、/etc/swatch.conf が悪いのかの切り分けのため、/etc/init.d/swatch を使わずにシェル上から直接 swatch を実行してみてはどうでしょうか?

ちなみにdebianではググった感じでは、その2ファイルは含まれないのが正常なようですね。

swatch の動作確認そのものはここがわかりやすそうです。
Grandadbob
会議室デビュー日: 2006/11/16
投稿数: 4
投稿日時: 2006-11-17 12:43
Ayさん

改行コードが間違っていたかもしません。もう一度コピー＆ペーストする際に、気をつけて行ったところ、エラーがなくなりました。

ありがとうございました。

ただ、残念なことに swatch.conf で指定している2分後の設定消去が動作しません…。2分後にも設定が残ったままです…。

#
# Personal Swatch configuration file
#

# Alert me of bad login attempts and find out who is on that system
ignore /CRON/

watchfor /Did not receive identification string from/
exec "/sbin/iptables -A INPUT -s $12 -j ACCEPT"

watchfor /Illegal user/
exec "/sbin/iptables -A INPUT -s $10 -j ACCEPT"
exec "echo '/sbin/iptables -D INPUT -s $10 -j ACCEPT' | at now+2min"
mail=root,subject=[Swatch] Invalid access

watchfor /Authentication failure for root/
exec "/sbin/iptables -A INPUT -s $13 -j ACCEPT"

※動作確認のためDROPではなく、ACCEPTにしています。
Grandadbob
会議室デビュー日: 2006/11/16
投稿数: 4
投稿日時: 2006-11-17 13:53
[quote]
Grandadbobさんの書き込み (2006-11-17 12:43) より:
==================================================================
ただ、残念なことに swatch.conf で指定している2分後の設定消去が動作しません…。2分後にも設定が残ったままです…。
==================================================================

すみません、私の勘違いでした。消えるように設定していないルールだったため、残っていただけです。

失礼致しました。
1

スキルアップ／キャリアアップ（JOB@IT）