监控服务器登录/ SSH 访问？

Question

我的服务器上似乎时不时会发生一些可疑活动。

除了定期更改密码之外，我还希望每次用户访问我的 Apache 服务器时都能收到电子邮件（或记录），无论是通过直接登录 cPanel 还是通过 SSH 访问。

这可能吗？

客服代表告诉我，我最多能做的就是检查“上次登录”的 IP 地址。

任何帮助都值得感激。谢谢。

Answer 1

配置日志存储观看您的auth.log，搜索新登录，然后使用电子邮件输出通过电子邮件向您发送新事件。

至于 cPanel，只需将其关闭即可。停止使用它。它在您的系统上活动会给数百万电子带来不便，这是不值得的。

Answer 2

除了@EEAA 的回答之外，您还应该锁定 SSH - 至少需要使用密码登录，但最好锁定对 IP 地址的访问（或者如果这不可能，则需要通过 VPN 进行连接）。

我自己没有使用过 logstash，但你工具库中另一个非常有用的工具是 fail2ban。你可以将其配置为实时监控日志文件，并向你发送电子邮件，并可选择禁止用户。与 @EEAA 一样，我不使用 CPANEL，建议删除它，因为它无法提高你的安全性 - 但如果你确实需要它，配置 fail2ban（或者 logstash）以查看你的 apache 日志文件，寻找来自 CPANEL 的登录尝试可能是一个好主意。同样 - 如果你需要 cpanel 访问权限，也许你可以将其配置为仅通过 VPN 或从某些主机工作。

我不会相信客户服务技术人员告诉你的话——使用“上次登录”并不是对这个问题的好答案。