Sévérité : ÉlevéeRègles Sigma

Attaque par force brute SSH détectée sur un serveur exposé

```text
sshd[2211]: Failed password for invalid user admin from 45.95.0.12 port 51234 ssh2
sshd[2213]: Failed password for root from 45.95.0.12 port 51240 ssh2
```

Détecter

Le SIEM remonte des centaines d'échecs d'authentification SSH par minute depuis quelques adresses ; la charge du serveur augmente.

Symptômes

Le SIEM remonte des centaines d'échecs d'authentification SSH par minute depuis quelques adresses ; la charge du serveur augmente.

Environnement

Serveur Linux avec SSH exposé sur Internet, authentification par mot de passe encore autorisée.

Cause racine

Exposition directe de SSH avec authentification par mot de passe : cible permanente des robots de scan.

Diagnostic

Compter et classer les sources : journalctl -u ssh --since "1 hour ago" | grep "Failed password" | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn.
Vérifier qu'aucune connexion n'a réussi depuis ces sources : grep "Accepted" /var/log/auth.log.
Si succès suspect : traiter comme une compromission (playbook de réponse à incident).

Solution

Désactiver l'authentification par mot de passe (PasswordAuthentication no) et la connexion root.
Restreindre l'accès (bastion, VPN, liste d'IP), fail2ban en complément.
Règle Sigma de détection : N échecs par source en 5 minutes, suivi d'un succès = alerte critique.

Commandes

sudo sshd -T | grep -E 'passwordauthentication|permitrootlogin'
sudo fail2ban-client status sshd
grep "Accepted" /var/log/auth.log | tail

Prévention

SSH non exposé publiquement, clés + MFA pour les administrateurs, détection « échecs puis succès » dans le SIEM, revue des comptes autorisés.