Les attaques contre ce serveur, en direct

D'où viennent les données

Tout vient de ce serveur. Les connexions SSH sont lues dans auth.log, écrit par rsyslog, les bans dans fail2ban.log. S'y ajoutent les requêtes reçues par ce site qui correspondent à une signature de scan connue. Aucun leurre n'est installé : pas de honeypot, juste une machine ordinaire, exposée comme n'importe quelle autre.

Ce que comptent les compteurs

Tentatives

Un mot de passe ou une clé refusés, ou un identifiant rejeté avant même l'authentification. Un compte qui existe et un compte qui n'existe pas comptent pareil, et rien sur cette page ne permet de les distinguer.

IP uniques

Adresses sources distinctes vues dans la journée. Le comptage passe par une empreinte dont la clé change chaque jour et disparaît à minuit UTC : aucune liste d'adresses n'est gardée pour ça.

Bans

Adresses bannies par fail2ban.

Sondes

Connexions SSH fermées sans la moindre tentative d'authentification : échange de bannière, négociation ratée, délai dépassé.

Connexions bridées

Connexions que sshd refuse d'office parce que la source insiste trop.

Scans web

Requêtes envoyées à ce site pour chercher des fichiers ou des failles connus : .env, .git, wp-login.php, Log4Shell…

Les journées et les heures sont en UTC. L'historique couvre les 30 derniers jours.

Pourquoi ce retard

Chaque événement attend environ 90 secondes avant d'être publié. Si l'adresse finit par se connecter normalement, c'est sans doute moi : ses échecs sont alors effacés avant d'apparaître ici.

Ce qui est masqué

Une adresse n'apparaît que tronquée à son réseau : /24 en IPv4 (203.0.113.0/24), /48 en IPv6. L'adresse complète ne quitte jamais le collecteur.

Un identifiant n'est affiché que s'il a été essayé depuis de nombreux réseaux différents. Un nom que seules quelques machines connaissent pourrait être un vrai compte : il devient ••••. root reste toujours visible, un identifiant vide s'affiche (vide). Pour les scans web, seul le nom de la signature est publié, jamais le chemin demandé.

Ce que la géolocalisation ne dit pas

Pays et opérateur viennent des bases DB-IP Lite. Une adresse situe la machine qui a envoyé les paquets, et c'est le plus souvent un serveur loué chez un hébergeur, un VPN ou un appareil compromis. Un trait qui part de Singapour ne dit rien de la personne qui tient le clavier. Les adresses sans pays connu restent dans le flux, sans trait sur la carte.

Lire la carte

Projection azimutale centrée sur le pays du serveur. Chaque trajectoire suit le grand cercle qui mène au centre, et les caps sont exacts : un trait qui arrive par le 060 vient bien du nord-est.

Les distances, elles, sont comprimées. À l'échelle réelle, un pays voisin à 700 km se retrouverait à 3 % du rayon, caché sous la croix du centre. Le rayon suit donc la racine carrée de la distance : l'Europe proche s'étale, les continents lointains se resserrent vers le bord. Les anneaux restent gradués en vraies distances, 2 000, 5 000, 10 000 et 15 000 km, et le bord du disque est l'antipode, à 20 000 km. Une distance se lit sur les anneaux, pas à la règle.

La taille des points de terre suit les tentatives du pays sur 24 heures, en échelle logarithmique. Les codes posés sur la carte désignent les principales origines de ces 24 heures.

Après 3 minutes sans événement, la page rejoue les dernières heures soixante fois plus vite. Ces lignes portent un R et leur heure d'origine, et ne modifient ni les compteurs ni les graphiques.

Limites

Un programme qui tourne sur le serveur peut écrire de fausses lignes dans les journaux. Les chiffres disent ce que contiennent les journaux, rien de plus.

Votre visite

Pas de cookie, pas de traceur, aucune ressource tierce : scripts, polices et fond de carte sont servis par ce site.

Crédits

IP Geolocation by DB-IP, licence CC BY 4.0. Fond de carte Natural Earth, domaine public. Polices B612 et B612 Mono, dessinées pour les cockpits Airbus, sous licence SIL Open Font License 1.1.