Analyse des logs

Bonjour j'ai récemment loué un serveur rps chez ovh pour faire de l'hébergement web !

A un moment il était souvent indisponible alors je suis allez dans /var/log/syslog

Et j'ai noté des choses bizarres ??
Si vous pouvez me dire ce que

Code:

---

1 2 3 4 5 6 7 8 9

Sep 17 02:20:01 r** /USR/SBIN/CRON[6923]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:21:01 r** /USR/SBIN/CRON[6967]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:22:01 r** /USR/SBIN/CRON[7000]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:23:01 r** /USR/SBIN/CRON[7034]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:24:01 r** /USR/SBIN/CRON[7068]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:25:01 r** /USR/SBIN/CRON[7104]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:26:01 r** /USR/SBIN/CRON[7144]: (root) CMD (/usr/local/rtm/bin/rtm 27 > /dev/null 2> /dev/null) Sep 17 02:26:15 r** init: Id "T0" respawning too fast: disabled for 5 minutes

---

et donc aussi

Code:

---

1 2 3 4 5

Sep 17 02:27:11 r** postfix/smtpd[7232]: connect from 220-139-127-112.dynamic.hinet.net[220.139.127.112] Sep 17 02:27:12 r** postfix/smtpd[7232]: NOQUEUE: reject: RCPT from 220-139-127-112.dynamic.hinet.net[220.139.127.112]: 554 5.7.1 <s2288@mail2000.com.tw>: Relay access denied; from=<hjoyuo@hotmail.com> to=<s2288@mail2000.com.tw> proto=SMTP helo=<monipay> Sep 17 02:27:12 r** postfix/smtpd[7232]: lost connection after RCPT from 220-139-127-112.dynamic.hinet.net[220.139.127.112] Sep 17 02:27:12 r** postfix/smtpd[7232]: disconnect from 220-139-127-112.dynamic.hinet.net[220.139.127.112]

---

Si vous pouviez m'aider à rendre mon serveur plus sécure !!!

Merci

Bonjour,

RTM (Real Time Monitor) est un résident développé par OVH qui permet de suivre l'activité de ton serveur.

Tu devrais t'assurer qu'il est bien à jour en suivant les instructions de la page ^^.

Sinon pour apporter de la sécurité sur ton serveur tu pourrais déjà mettre en place quelques règles iptables (tuto iptables), et installer logcheck qui permet de remonter les logs par mails (tu devrais trouver un paquet éponyme pour ta distrib).

++
Fred

Un autre petit problème aussi c'est quand je fais un nmap de mon serveur je vois le port 25 qui est ouvert !

Alors que sur beaucoup de serveur je vois "filtered"

Est-ce dangereux ??

Comment faire pour le filtré ??

Merci

Re,

Dans la mesure où tu n'exécutes pas un un MTA (Mail Transfert Agent, comme postfix) configuré comme un open relay, ça n'est pas trop gênant.

Maintenant, si ton serveur n'est pas censé accepter de requêtes SMTP, ca ne mange pas de fermer le port.

Si ton serveur est configuré pour accepter les requêtes SMTP (tu offres le service courrier), tu peux utiliser iptables pour autre chose qu'un simple blocage ; par exemple travailler sur l'état des connexions, logguer, ou encore faire certaines actions en fonction du nombre de tentatives de connexions par unités de temps (j'ai jamais fait ca pour smtp ^^).

++
Fred

C'est bon j'ai trouvé ou ajouter son email !

Mais ça envoie des mails tous les combiens ??

Dès qu'il y a une anomalie ???

Re,

Logcheck -j'imagine que tu parles de ça ;)- inspecte toutes les heures (il y a une crontab qui paramètre ça : /etc/cron.d/logcheck) les logs indiqués dans /etc/logcheck/logcheck.logfiles.

Tu as trois niveaux de verbosité dispo pour le paramètre REPORTLEVEL dans le fichier /etc/logcheck/logcheck.conf.

Logcheck utilise des expressions régulières pour retenir ou ignorer les événements loggués dans les fichiers log.

C'est un outil livré avec un jeu de filtres pour les services les plus communs mais un peu coton pour arriver à une config parfaitement adaptée ^^

Tu devrais avoir pas mal d'indications dans le répertoire /usr/share/doc/logcheck pour personnaliser ta config ^^


++
Fred