قراءة auth.log في خمس دقائق

كل محاولة دخول عبر SSH، ناجحة أو فاشلة، تترك سطرًا واحدًا في /var/log/auth.log. أربعة حقول في هذا السطر تجيب عن معظم الأسئلة الأولى للمحلل.

الحقول الأربعة

1. الوقت: متى حدث، بساعة الخادم.
2. المضيف: أي جهاز كتبه.
3. العملية: sshd[1234]، الخدمة ورقم عمليتها.
4. الرسالة: ماذا حدث.

إيجاد محاولات الدخول الفاشلة

grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn | head

عدد المحاولات لكل عنوان مصدر يبيّن فورًا إن كان مضيف واحد يخمّن كلمات المرور.

ما الذي تفحصه بعد ذلك

سلسلة إخفاقات يتبعها نجاح واحد من العنوان نفسه تستحق نظرة أقرب.