안녕하세요,
저는 대학교 연구실에서 일을 하고 있구요, 리눅스 서버 관리/모니터링에 대해서는 거의 아무것도 모르는 상태로 우분투 서버를 하나 사용 중입니다.
그런데 방화벽 로그를 한 번 살펴봤더니 (cat /var/log/ufw.log) 아래처럼 아주 자주 로그가 기록이 되고 있습니다.
잘 모르지만, 뭔가 외부 IP에서 들어오는 접속 시도를 차단했다는 로그 기록인 것 같기도 한데요, 방화벽 로그가 이렇게 나오는 게 일반적인 일일까요?
(저희 서버 MAC 주소와 IP 주소는 XXX로 처리했습니다.)
감사합니다.
Jan 10 15:23:39 user kernel: [239616.624637] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=143.198.62.134 DST=XXX.XXX.XXX.XXX LEN=60 TOS=0x00 PREC=0x00 TTL=51 ID=46444 DF PROTO=TCP SPT=55678 DPT=22 WINDOW=64240 RES=0x00 SYN URGP=0
Jan 10 15:23:41 user kernel: [239618.640652] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=143.198.62.134 DST=XXX.XXX.XXX.XXX LEN=60 TOS=0x00 PREC=0x00 TTL=51 ID=46445 DF PROTO=TCP SPT=55678 DPT=22 WINDOW=64240 RES=0x00 SYN URGP=0
Jan 10 15:23:45 user kernel: [239622.832761] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=143.198.62.134 DST=XXX.XXX.XXX.XXX LEN=60 TOS=0x00 PREC=0x00 TTL=51 ID=46446 DF PROTO=TCP SPT=55678 DPT=22 WINDOW=64240 RES=0x00 SYN URGP=0
Jan 10 15:24:40 user kernel: [239677.506502] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=89.248.165.21 DST=XXX.XXX.XXX.XXX LEN=40 TOS=0x00 PREC=0x00 TTL=240 ID=50454 PROTO=TCP SPT=40513 DPT=23491 WINDOW=1024 RES=0x00 SYN URGP=0
Jan 10 15:25:39 user kernel: [239736.200768] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=43.130.11.228 DST=XXX.XXX.XXX.XXX LEN=52 TOS=0x08 PREC=0x00 TTL=48 ID=34058 DF PROTO=TCP SPT=35082 DPT=9018 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 10 15:26:24 user kernel: [239781.380069] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=167.172.233.114 DST=XXX.XXX.XXX.XXX LEN=40 TOS=0x00 PREC=0x00 TTL=241 ID=12863 PROTO=TCP SPT=61953 DPT=8016 WINDOW=1024 RES=0x00 SYN URGP=0
Jan 10 15:27:00 user kernel: [239817.301302] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=167.94.146.20 DST=XXX.XXX.XXX.XXX LEN=44 TOS=0x00 PREC=0x00 TTL=35 ID=56260 PROTO=TCP SPT=47994 DPT=34928 WINDOW=1024 RES=0x00 SYN URGP=0
Jan 10 15:28:59 user kernel: [239936.730381] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=128.199.235.46 DST=XXX.XXX.XXX.XXX LEN=40 TOS=0x00 PREC=0x00 TTL=235 ID=55446 PROTO=TCP SPT=61953 DPT=8000 WINDOW=1024 RES=0x00 SYN URGP=0
Jan 10 15:29:03 user kernel: [239940.052877] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=43.131.68.225 DST=XXX.XXX.XXX.XXX LEN=52 TOS=0x00 PREC=0x00 TTL=46 ID=49820 DF PROTO=TCP SPT=50844 DPT=2443 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 10 15:29:03 user kernel: [239940.286641] [UFW BLOCK] IN=enp96s0f0 OUT= MAC=xx:xx:xx:xx:xx:xx:78:48:59:dd:11:e9:08:00 SRC=167.248.133.27 DST=XXX.XXX.XXX.XXX LEN=44 TOS=0x08 PREC=0x00 TTL=30 ID=30955 PROTO=TCP SPT=55907 DPT=5985 WINDOW=1024 RES=0x00 SYN URGP=0
대학 내에서 사옹 하는 서버라면 ACL 같은거로 특정 아이피 대역등에서만 접속 가능하게 하시거나 하는게 좋아보이네요.
ACL은 한 번 공부해 보겠습니다.
(연구실 멤버들이 가끔 집에서도 서버에 접속해서 일을 해야 되기 때문에 아이피 대역 제한이 가능할지는 잘 모르겠습니다.)
보통 하루 수십~수백개 찍히는게 보통입니다
싫으면 프록시같은걸로 숨기면 그넘이 대신 두들겨맞고(?), 서버가 직접 공격당하는걸 막을 수 있습니다