이벤트 실패 로그에 있는 공격 IP 뽑아내기.

이벤트 로그에 지속적인 공격이 들어오는 게 보인다. ㅅㅂㄹㄷ

이벤트 로그를 한개 한개 뒤져서 체크 하기가 힘들다.

예전에 작성했던 자동 차단 파워쉘을 조금 수정해서 목록만 뽑도록 만듬.

원격데스크탑(RDP)

###################### Config ######################

#아래의 형식으로 있는 IP 주소를 가져오기 위한 정규식
$regex2 = [regex] "원본 네트워크 주소:\t(\d+\.\d+\.\d+\.\d+)";

#아래 값 이상인 것만 차단 리스트($blacklist)에 추가
$deny_count = 5

#이벤트 로그가 많을 경우 어마무시하게 오래 걸림. 불러올 로그 개수
$newest = 1000

###################### Config ###################### 

##최종 공격자 IP 배열
$blacklist = @(); 

#초기화
$list=""

#메인 명령어( 이 스크립트의 코어임.)
#이벤트 실패 로그인 4625 ID 에서 아이피가 있는 message 부분에서 IP만 뽑아낸다.
#list 변수 = 이벤트 실패 로그 아이피 (중복포함)
$ips = get-eventlog Security -Newest  $newest | Where-Object {$_.EventID -eq 4625 } | foreach {
    $m = $regex2.Match($_.Message); $ip = $m.Groups[1].Value; $ip;
    } | Sort-Object | Tee-Object -Variable list | Get-Unique 
    # ($list | Select-String 211.217.48.254 -SimpleMatch | Measure-Object).count; 

    foreach ($forIp in $ips) {
        #로그인 실패 이벤트 로그 중에는 IP가 없는 것들도 있는 데, 그런 경우
        #빈값이 들어오므로 continue로 넘겨준다.
        if([string]::IsNullOrEmpty($forIp))
        {
            #'continue'; 
            continue;
        }
        if (-not ($blacklist -contains $forIp)) {
            $attack_count = ($list | Select-String $forIp -SimpleMatch | Measure-Object).count; 
            "Found RDP attacking IP on 3389: " + $forIp + ", with count: " + $attack_count; 
            if ($attack_count -ge $deny_count) {$blacklist = $blacklist + $forIp;} 
        }
    }
""
"========$deny_count 회 이상 실패 IP==============="
#방화벽 등록 명령어를 이용해서 자동 차단으로 해도 된다.
$blacklist

 

MSSQL
로그 예제 : 사용자 'sa'이(가) 로그인하지 못했습니다. 원인: 암호가 제공된 로그인의 암호와 일치하지 않습니다. [클라이언트: 211.41.41.203]

###################### Config ######################

#아래의 형식으로 있는 IP 주소를 가져오기 위한 정규식
$regex2 = [regex] "클라이언트: (\d+\.\d+\.\d+\.\d+)";

#아래 값 이상인 것만 차단 리스트($blacklist)에 추가
$deny_count = 5;

#이벤트 로그가 많을 경우 어마무시하게 오래 걸림. 불러올 로그 개수
$newest = 1000

###################### Config ###################### 

##최종 공격자 IP 배열
$blacklist = @(); 

#초기화
$list=""

#메인 명령어( 이 스크립트의 코어임.)
#이벤트 실패 로그인 18456 ID 에서 아이피가 있는 message 부분에서 IP만 뽑아낸다.
#list 변수 = 이벤트 실패 로그 아이피 (중복포함)
$ips = get-eventlog Application -Newest  $newest | Where-Object {$_.EventID -eq 18456 } | foreach {
    $m = $regex2.Match($_.Message); $ip = $m.Groups[1].Value; $ip;
    } | Sort-Object | Tee-Object -Variable list | Get-Unique 
    # ($list | Select-String 211.217.48.254 -SimpleMatch | Measure-Object).count; 

    foreach ($forIp in $ips) {
        #로그인 실패 이벤트 로그 중에는 IP가 없는 것들도 있는 데, 그런 경우
        #빈값이 들어오므로 continue로 넘겨준다.
        if([string]::IsNullOrEmpty($forIp))
        {
            #'continue'; 
            continue;
        }
        if (-not ($blacklist -contains $forIp)) {
            $attack_count = ($list | Select-String $forIp -SimpleMatch | Measure-Object).count; 
            "Found RDP attacking IP on MSSQL: " + $forIp + ", with count: " + $attack_count; 
            if ($attack_count -ge $deny_count) {$blacklist = $blacklist + $forIp;} 
        }
    }
""
"========$deny_count 회 이상 실패 IP==============="
#방화벽 등록 명령어를 이용해서 자동 차단으로 해도 된다.
$blacklist

 


언제 한번 날 잡아서 완성형으로 만들어야 될 듯...