117笔记问答SSH日志分析对于系统管理员来说是一项重要的任务，它可以帮助及时发现异常登录尝试、暴力破解攻击等安全威胁。以下是一些基本的SSH日志分析技巧：
日志文件位置
- SSH登录日志通常存储在
/var/log/secure或/var/log/auth.log文件中，不同Linux发行版可能存储在不同的位置。
常用命令
- 查看登录成功日志：使用
grep "Accepted" /var/log/secure或grep "Accepted" /var/log/auth.log命令。 - 查看登录失败日志：使用
grep "Failed password" /var/log/secure或grep "Failed password" /var/log/auth.log命令。 - 查看SSH连接的IP地址：使用
grep "sshd" /var/log/secure | grep "Accepted" | awk '{print $NF}' | sort -u或grep "sshd" /var/log/auth.log | grep "Accepted" | awk '{print $NF}' | sort -u命令。
日志分析技巧
- 提取特定信息：使用文本处理工具如
awk、sed和grep可以提取特定字段，例如提取所有失败的登录尝试的IP地址。 - 使用正则表达式：正则表达式可以帮助匹配复杂的字符串模式，例如使用
grep -E "^sshd:. SSH"命令查找所有以sshd:开头且包含Failed单词的行。 - 实时监控：使用
tail -f /var/log/secure命令可以实时跟踪SSH登录记录。
实际案例分析
- 在一次安全应急响应中，发现SSH登录日志中有异常的用户名，通过分析这些用户名，发现它们是攻击者用于隐藏后门进程的用户名。进一步排查，发现了攻击者留下的后门。
通过上述技巧和案例，管理员可以更有效地分析SSH日志，及时发现和响应安全威胁。