A menos que você tenha notado novos arquivos estranhos, arquivos de sistema alterados ou outros comportamentos estranhos do seu servidor, eu não me preocuparia muito com essas estranhas entradas de log. Qualquer um pode enviar solicitações HTTP malformadas para o seu servidor se ele estiver aberto à Internet, e muitas pessoas (ou bots) fazem exatamente isso.
Por que eles fariam isso? Bem, alguns servidores da Web têm vulnerabilidades conhecidas que podem ser exploradas enviando-as apenas o tipo de solicitação "correto". Então, o que você possivelmente está vendo são sondas para vulnerabilidades conhecidas (ou até mesmo desconhecidas). Se isso faz você se sentir mais seguro, você pode tomar medidas retroativas , como bloquear / banir IPs que enviam solicitações mal formadas ou desconhecidas (usando iptables, fail2ban, etc.).
Pessoalmente, eu assumo a posição de que os IPs "ruins" da lista negra não valem a pena, já que, quando você vê os rastros deles nos seus arquivos de registro, eles descobriram que você não está vulnerável ou que está já hackeado. Eu acredito que a melhor abordagem é ser proativo com segurança:-
Mantenha seu software de servidor totalmente atualizado e atualizado. Sempre. Rapidamente. Religiosamente.
-
Mantenha seu perfil de ataque o menor possível: Não instale / execute nenhum software desnecessário no servidor. E, como William de Ockham disse uma vez, "Não multiplique as contas de usuários desnecessariamente."
-
Firewall seu servidor. ( Ou não , mas saiba o que você está fazendo.)
-
Execute um sistema de detecção de invasões, como AIDE , OSSEC , ou samhain . Isso irá alertá-lo quando os arquivos do sistema forem alterados inesperadamente, muitas vezes uma dica de que seu servidor foi comprometido.
-
Execute o software de monitoramento / representação gráfica do sistema, como munin , cactos , collectd ou algo semelhante. Assista os gráficos regularmente para ter uma ideia de como as cargas normais do sistema se parecem, e quais são suas tendências regulares. Então, quando seus gráficos mostram algo que você nunca viu antes, você tem que investigar mais.
-
Execute um web analyzer / grapher, como webalizer ou awstats Novamente, familiarize-se com as operações normais, para que você possa reconhecer rapidamente quando as coisas não estão normais.
-
Execute um servidor de log separado - preferivelmente em um sistema mínimo, protegido por segurança, que não esteja executando nada - e configure seus servidores para enviar seus logs para ele. Isso torna muito mais difícil para um intruso cobrir seus rastros.