Vous pouvez durcir ssh et installer denyhosts, sshguard, et Snort, Barnyard, Base et Swatch.

Voir ces liens pour plus de détails :

https://discussions.apple.com/thread/3565475 https://discussions.apple.com/thread/4473229?tstart=0

1. Désactivez les connexions par racine et par mot de passe :

   vi /etc/sshd_config

   PermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthenticatio no

   Ensuite, utilisez ssh-keygen sur le client distant pour générer des clés publiques/privées qui peuvent être utilisées pour se connecter à distance au serveur :  

   client$ ssh-keygen -t rsa -b 2048 -C client_name [Securely copy ~/.ssh/id_rsa.pub from client to server.] server$ cat id_rsa.pub > ~/.ssh/known_hosts  

2. Installez denyhosts et sshguard.

   • sudo port install denyhosts sshguard
   • sudo port load denyhosts
   • sudo port load sshguard

   Vous pouvez configurer denyhosts pour bloquer tout le trafic, pas seulement le trafic ssh.

3. Snort, avec une carte mondiale des attaques :

   https://discussions.apple.com/thread/4473229?tstart=0

Pour répondre directement à la question posée. J'ai un autre script qui m'envoie un courriel, encore une fois, vers minuit, si quelqu'un se connecte avec succès via ssh.

#!/usr/bin/env bash

mm=`date +%b`
dd=`date $1 +%d`
dd=`expr $dd`
if [ "$dd" -ge "10" ]
  then 
    dt=`echo "$mm $dd"` 
  else 
    dt=`echo "$mm  $dd"` 
fi

cat /var/log/secure.log | grep -E '(Accepted|SUCCEEDED)'| grep -E -v '(my.ip.address|192.168.1)' | grep "$dt" >> /tmp/access_granted

/usr/bin/mail -E -s "Access granted" email@myserver.com < /tmp/access_granted
rm /tmp/access_granted

Modifier le grep ci-dessus pour exclure votre propre IP fixe, si vous le souhaitez, et pour utiliser votre adresse électronique. Vous pouvez combiner une partie du code de mon autre réponse pour ajouter des défaillances pour VNC.

Pour développer un peu plus sur Fail2ban Une fois qu'il est installé et fonctionne, j'ai un script que j'exécute juste avant minuit et qui extrait les journaux et m'envoie par courriel ce que Fail2ban a fait pendant la journée précédente.

Le script est le suivant et peut être exécuté depuis cron ou un plist launchd.

#!/usr/bin/env bash

mm=`date +%b`
dd=`date $1 +%d`
dd=`expr $dd`
if [ "$dd" -ge "10" ]
  then 
    dt=`echo "$mm $dd"` 
  else 
    dt=`echo "$mm  $dd"` 
fi

cat /var/log/system.log | grep "$dt" | grep org.fail2ban | grep -v COMMAND > /tmp/fail2ban_deny
cat /var/log/fail2ban.log | grep -E '(WARN|ERR|rotation|target)' | grep `date $1 +%Y-%m-%d` >> /tmp/fail2ban_deny
cat /var/log/ipfw.log | grep TCP | grep "$dt" >> /tmp/fail2ban_deny
cat /var/log/secure.log | grep VNC | grep FAILED | grep "$dt" >> /tmp/fail2ban_deny

/usr/bin/mail -E -s "Fail2ban ipfw" email@yourserver.com < /tmp/fail2ban_deny
rm /tmp/fail2ban_deny

Vous devrez évidemment utiliser l'adresse électronique de votre choix.

La mise en place de Fail2ban est un tout autre problème. J'ai beaucoup écrit à ce sujet.

Il est assez simple d'installer le plugin PAM de Google Authenticator sur Mac OS X si vous avez installé le compilateur de ligne de commande X code. T

https://code.google.com/p/google-authenticator/wiki/PamModuleInstructions

Une fois que vous aurez initialisé votre jeton (généré un code que vous transmettrez à l'application sur votre téléphone), vous disposerez d'une authentification à deux facteurs pour protéger votre machine. Tout compte sans jeton initialisé ne pourra pas se connecter, donc si vous ne voulez pas autoriser la connexion Root, n'initialisez pas de clé pour ce compte.

Mais sérieusement, quelque chose comme DenyHosts a du sens si vous devez garder SSH ouvert sur Internet. Malheureusement, depuis Mac OS X V10.8, Apple a supprimé le support des tcpwrappers du démon SSH, qui ignore donc /etc/deny.hosts, ce qui était une décision stupide, si vous voulez mon avis, en supprimant une fonctionnalité de sécurité.

Pour contourner cela, j'ai utilisé MacPorts pour installer un démon openssh à jour, et restaurer la fonctionnalité complète de tcpwrappers, édité et utiliser le démon DenyHosts pour surveiller /var/log/system.log et bannir les IP qui devinent les logins et les mots de passe. Et n'oubliez pas de mettre à jour MacPorts et de vérifier/réinstaller openssh/DenyHosts à chaque fois que vous mettez le système d'exploitation à jour.

Bonne chance !