Análisis de Logs de Autenticación SSH en Kali Linux

Contexto

Lab local en Kali Linux dentro de VirtualBox. Se simuló un ataque de fuerza bruta básico contra el servicio SSH local (127.0.0.1) usando una lista de usuarios comunes, luego se analizaron los registros generados por el sistema.

Configuración y pasos realizados

1. Verificar e iniciar el servicio SSH

sudo systemctl start ssh
sudo systemctl status ssh

SSH activo escuchando en 0.0.0.0:22.

2. Generar intentos de login fallidos

for user in root admin test guest administrator; do
  ssh -o StrictHostKeyChecking=no -o ConnectTimeout=3 $user@127.0.0.1 2>/dev/null
done

Se dejaron las contraseñas en blanco en cada prompt para forzar el fallo.

3. Leer los logs con journalctl

sudo journalctl -u ssh --no-pager | grep -i "failed\|invalid\|authentication"

4. Contar intentos fallidos

sudo journalctl -u ssh --no-pager | grep -c "Failed password"

Resultado: 10 intentos fallidos.

5. Identificar usuarios atacados

sudo journalctl -u ssh --no-pager | grep "Invalid user" | grep -oP 'Invalid user \K\S+' | sort | uniq -c | sort -rn

Resultado:

• admin: 1
• administrator: 1
• guest: 1
• test: 1

6. Identificar IP de origen

sudo journalctl -u ssh --no-pager | grep "Failed password" | grep -oP 'from \K[\d.]+' | sort | uniq -c | sort -rn

Resultado: 10 intentos desde 127.0.0.1.

Verificación

Los logs confirman:

• 10 intentos de "Failed password" registrados
• 1 usuario válido atacado: root
• 4 usuarios inválidos: admin, test, guest, administrator
• IP de origen: 127.0.0.1
• El sistema aplicó una penalización automática a la IP (srclimit_penalise)