SSH経由での無効なユーザーまたは不明なユーザーのログイン試行は記録されますか？
環境
- ONTAP 9
- SSH
- イベント管理システム（EMS）
回答
- 無効または不明なユーザの試行はEMSに記録されます ：
メッセージ名：
重大度：NOTICE
概要：このイベントは、認証失敗によりsshdがログイン試行を拒否した場合に発生します。
是正措置：有効なユーザ名とパスワードの組み合わせを使用してログインしてください。
sshd.auth.loginDenied重大度：NOTICE
概要：このイベントは、認証失敗によりsshdがログイン試行を拒否した場合に発生します。
是正措置：有効なユーザ名とパスワードの組み合わせを使用してログインしてください。
例：
Thu Aug 4 18:05:09 +0300 [cluster1-01: sshd: sshd.auth.loginDenied:notice]: params: {'message': 'Failed keyboard-interactive / pam for invalid user user123 from 10.x.y.4 port 61582 ssh2 '}メッセージ名：
重大度：ERROR
概要：このメッセージは、ユーザがストレージシステムへのセキュアシェル（SSH）接続を確立しようとした際に、指定されたタイムアウト期間内にパスワードを入力しなかった場合に表示されます。このような接続試行が多数発生すると、他のユーザがストレージシステムにログインできなくなる可能性があり、サービス拒否（DOS）攻撃を引き起こす可能性があります。
是正措置：リモートホストがSSH接続を繰り返し試行している場合は、「firewall policy」コマンドを使用して、リモートホストのIPアドレスを拒否リストに追加することで、リモートホストをブロックしてください。
sshd.loginGraceTime.expired重大度：ERROR
概要：このメッセージは、ユーザがストレージシステムへのセキュアシェル（SSH）接続を確立しようとした際に、指定されたタイムアウト期間内にパスワードを入力しなかった場合に表示されます。このような接続試行が多数発生すると、他のユーザがストレージシステムにログインできなくなる可能性があり、サービス拒否（DOS）攻撃を引き起こす可能性があります。
是正措置：リモートホストがSSH接続を繰り返し試行している場合は、「firewall policy」コマンドを使用して、リモートホストのIPアドレスを拒否リストに追加することで、リモートホストをブロックしてください。
例：
09/23/2020 11:41:51 cluster1-01 ERROR sshd.loginGraceTime.expired: Timeout before password authentication for remote host 10.x.y.7- さらに、“不正ユーザ”の認証失敗はMessages.logで確認できます：
Fri Oct 16 08:18:35 2020 cluster1-01 [auth_sshd:error:45682] error: PAM: authentication error for illegal user test from 10.2.3.4