Detección de ataques de fuerza bruta en el registro de SSH

1import re
2import sys
3from datetime import datetime, timedelta
4
5FALLO = re.compile(r"Failed password for (invalid user )?(\S+) from (\S+) port")
6EXITO = re.compile(r"Accepted (password|publickey) for (\S+) from (\S+) port")
7VENTANA = timedelta(minutes=10)
8MAX_FALLOS = 5
9
10
11def main():
12    fallos_ip = {}            # ip → lista de instantes de fallo
13    bloqueos = {}             # ip → (instante del bloqueo, primer fallo de la ventana)
14    inexistentes = set()
15    fallos_usuario = {}
16    alertas = []
17    n_fallos = n_exitos = 0
18
19    for linea in sys.stdin.read().split("\n"):
20        if not linea.strip():
21            continue
22        # Las líneas de syslog empiezan con «Oct  3 10:15:01» (sin año)
23        try:
24            instante = datetime.strptime(linea[:15], "%b %d %H:%M:%S").replace(year=2026)
25        except ValueError:
26            continue
27        if m := FALLO.search(linea):
28            n_fallos += 1
29            invalido, usuario, ip = m.groups()
30            if invalido:
31                inexistentes.add(usuario)
32            fallos_usuario[usuario] = fallos_usuario.get(usuario, 0) + 1
33            lista = fallos_ip.setdefault(ip, [])
34            lista.append(instante)
35            # Ventana deslizante: solo cuentan los fallos de los últimos 10 minutos
36            recientes = [t for t in lista if instante - t <= VENTANA]
37            if len(recientes) >= MAX_FALLOS and ip not in bloqueos:
38                bloqueos[ip] = (instante, recientes[0])
39        elif m := EXITO.search(linea):
40            n_exitos += 1
41            _, usuario, ip = m.groups()
42            previos = len(fallos_ip.get(ip, []))
43            if previos:
44                alertas.append(f"  {usuario} entró desde {ip} a las {instante:%H:%M:%S} tras {previos} {'fallo' if previos == 1 else 'fallos'} desde esa IP")
45
46    print(f"Intentos fallidos: {n_fallos} · Accesos correctos: {n_exitos}")
47    if bloqueos:
48        print("Bloquear:")
49        for ip, (cuando, desde) in sorted(bloqueos.items(), key=lambda b: b[1][0]):
50            print(f"  {ip} a las {cuando:%H:%M:%S} ({MAX_FALLOS} fallos desde las {desde:%H:%M:%S})")
51    else:
52        print("Bloquear: ninguna IP")
53    print("Usuarios inexistentes probados: " + (", ".join(sorted(inexistentes)) if inexistentes else "ninguno"))
54    if fallos_usuario:
55        ranking = sorted(fallos_usuario.items(), key=lambda u: (-u[1], u[0]))[:3]
56        print("Usuarios más atacados: " + ", ".join(f"{u} ({n})" for u, n in ranking))
57    print("Alertas:" if alertas else "Alertas: ninguna")
58    for a in alertas:
59        print(a)
60
61
62main()