Брутфорс или скан?

Судя по сообщениям от dovecot'а это тупой бот. Тупой, потому что не понимает, что запрещена авторизация открытым текстом и продолжает перебирать пользователей/пароли.

Боюсь, что вернется с другого адреса.

Настройте fail2ban.

fail2ban настроен, никак не реагирует он на такие события, это меня и смущает.

[dovecot-iredmail]
enabled     = true
filter      = dovecot.iredmail
action      = iptables-multiport[name=dovecot, port="http,https,smtp,submission,pop3,pop3s,imap,imaps,sieve", protocol=tcp]
logpath     = /var/log/dovecot.log
maxretry    = 5
findtime    = 300
bantime     = 7200
ignoreip    = 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

Такие гости будут постоянно.

От брутфорса помониторь популярные но не открытые у тебя порты. И всех в топку отправляй.

fail2ban работает по регулярному выражению, оно должно быть в /etc/fail2ban/filter.d, можно его поправить, чтобы реагировал и на эти попытки.

С другой стороны, особой опасности я здесь не вижу, данный «брутфорс» даже не доходит до ввода пароля. Единственное, что логи забиваются не нужным мусором.

Спасибо! Как раз то, что я хотел услышать. :)

особой опасности я здесь не вижу

Ему так сервер рутануть могут, между прочим.

2ТС: Настрой фэйл2бан, чтобы банил таких парней, и время бана побольше поставь.

Каким образом «рутануть»? До проверки пароля даже не доходит, dovecot футболит с ошибкой сразу после pop3-команды ″user″.

Найдут buffer overflow, например. Как, по-твоему, на серверах с дырявыми сервисами получают рута?

Лоровские эксперты по security through obscurity в опенсорсном софте?

Что мешает найти дырку в dovecot на локалхосте и единственным запросом заюзать её у тебя?

fail2ban не даёт безопасности.

Нормальный buffer overflow требует одной попытки, для каждого сервиса не так много известных дырок, их всех можно проверить параллельно или по очереди, но быстро, так, что fail2ban не успеет среагировать.

Как, по-твоему, на серверах с дырявыми сервисами получают рута?

Собирают у себя аналогичный набор сервисов и долго его исследуют различными атаками и только потом лезут ломать что-либо.

Каким образом «рутануть»?

«Китайским» методом же:

ТС: таких сообщений множество было

Из отчета службы безопасности:
... по поводу взлома китайцами сервера Пентагона:
1) Каждый китаец попробовал один пароль.
2) Каждый второй пароль был - maodzedun.
3) На 657983241-й попытке сервер согласился что у него пароль - maodzedun.

На MySQL намекаешь? ;)