Apr 14 10:35:36 localhost sshd(pam_unix)[12940]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=94.198.98.65
Apr 14 10:35:39 localhost named[2914]: client 127.0.0.1#32944: query(cache) '59.167.73.222.in-addr.arpa/IN' denied
Apr 14 10:35:39 localhost sshd(pam_unix)[12944]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.73.167.59 user=root
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query(cache) '65.98.198.94.in-addr.arpa/IN' denied
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query(cache) 'vps-65.netsons.net/IN' denied
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query 'vps-65.ne
 

Chào mọi người .
Nhà mình có một máy setup Linux , để setup nghịch linh tinh.
Hôm trước mở port 22 để shh từ ngoài vào.Sáng này em tình cờ mình vào đọc file log .Thì xuất hiện một loạt các các sự kiện sau.

Apr 14 10:35:36 localhost sshd(pam_unix)[12940]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=94.198.98.65
Apr 14 10:35:39 localhost named[2914]: client 127.0.0.1#32944: query(cache) '59.167.73.222.in-addr.arpa/IN' denied
Apr 14 10:35:39 localhost sshd(pam_unix)[12944]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.73.167.59 user=root
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query(cache) '65.98.198.94.in-addr.arpa/IN' denied
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query(cache) 'vps-65.netsons.net/IN' denied
Apr 14 10:35:41 localhost named[2914]: client 127.0.0.1#32945: query 'vps-65.ne
 

Thằng nào đó không biết cứ liên tục gởi request đăng nhập và hệ thống với các user root,postgres , uucp,smmsp,mailnull,nfsnobody,rpc
NÓ làm liền một mạch trong một tiếng, vừa nghỉ cách đây chắc khoảng 15 phút. Đọc phía trên thì một là báo đăng nhập ssh failure.Hai là thằng DNS nó query cái gì đó ? Em ko hiểu vì dịch vụ này khi setup xong em test và đã tắt , em ko cho nó chạy tự động?
Vấn đề em hỏi nữa là , cách tốt nhất khi xử lý mà hệ thống đang bị tấn công là cách nào ? Và cách đánh giá , chẳng hạn xem thằng đó nó đã làm gì với hệ thống mình chưa ? Kiểm tra mức thiệt hại , và có những khắc phục nào ?
Xin hỏi là nếu thằng đó vào rồi thì làm gì máy mình ? Vì máy đó có cái gì đâu .Chỉ sợ vào rồi nhảy lung tung qua các máy khác trong mạng lan, phá phách hư mất hết tài liệu.
Xin cảm ơn mọi người. 

Dĩ nhiên là hiểu chứ ? là thất bại từ chối truy cập. Nhưng nếu ngày nào đó , nó thành công, không một thì hai hoặc ba.Thì cách xử lý như thế nào để hạn chết cách thấp nhất mức thiệt hại ?
Chẳng hạn cả hệ thống đang chạy , em đâu có ngan xương rút phích ổ cắm.
Ý câu hỏi của em là, nếu nó log vào rồi , thành công mà mình phát hiện được điều đó, thì xử lý tiếp theo thế nào? Dừng server khóa port rà soát lại ? Mà rà soát cái gì ? Và làm sao biết được nó đã đụng vào thứ gì trong hệ thống mình. Nó đã ăn cắp gì ? Rồi thông tin về cơ sở dữ liệu, rồi thay đổi tất cả các thông tin bí mật hay sao ?

Câu hỏi của em cách khắc phục sự cố..Thời gian nhanh chóng , để hệ thống có thể hoạt động lại nhanh. .