一、SSH日志的核心存储位置

SSH服务的日志通常由系统日志守护进程（如rsyslog, syslog-ng, journald）管理，其存储位置因Linux发行版和日志系统而异。主要查看以下文件：

• /var/log/auth.log：在Debian、Ubuntu及其衍生系统中，所有认证相关的日志（包括SSH）都记录在此。
• /var/log/secure：在Red Hat、CentOS、Fedora等基于RHEL的系统中，SSH登录尝试、成功与失败信息通常记录于此文件。
• Systemd Journal：对于使用systemd的现代发行版，可以使用journalctl命令查看集中化日志。例如：journalctl -u ssh 或 journalctl _SYSTEMD_UNIT=sshd.service。

在排查问题时，首先确认您系统的发行版，然后定位到正确的日志文件。

二、使用命令行工具查看与分析日志

直接阅读原始日志文件可能信息过载。以下命令能帮助您高效提取关键信息：

1. 基础查看命令

# 查看auth.log或secure文件的实时尾部（最后几行）
tail -f /var/log/auth.log

# 查看包含“sshd”关键词的日志条目
grep "sshd" /var/log/auth.log

# 查看特定日期的日志（例如查看今天）
grep "`date '+%b %d'`" /var/log/auth.log | grep sshd

2. 聚焦登录成功与失败

查看成功的SSH登录： 成功的登录通常会记录“Accepted password”或“Accepted publickey”。

grep "Accepted" /var/log/auth.log

这条命令会列出所有成功登录的条目，显示登录时间、用户名、源IP地址以及使用的认证方法（密码或密钥）。

查看失败的SSH登录尝试： 失败的尝试是安全监控的重点，通常包含“Failed password”或“Invalid user”。

grep "Failed password" /var/log/auth.log

对于来自单一IP的大量失败尝试，可能是暴力破解攻击的迹象。

3. 高级过滤与统计

使用awk, cut, sort, uniq等工具进行深度分析：

# 统计所有失败登录尝试的来源IP地址及次数，按次数降序排列
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr

# 提取所有尝试登录的无效用户名
grep "Invalid user" /var/log/auth.log | awk '{print $8}' | sort | uniq -c

# 查看特定用户（例如root）的登录活动
grep "sshd.*root" /var/log/auth.log

三、利用专用工具进行日志监控

对于拥有大量服务器或需要自动化监控的环境，推荐使用以下工具：

• Fail2ban：一款经典的入侵防御框架，通过分析SSH等服务的日志，自动对表现出恶意行为（如多次密码错误）的IP地址实施临时封禁。
• Logwatch / Logcheck：这些工具每天自动分析日志，生成摘要报告并通过邮件发送给管理员，高亮显示异常活动。
• SIEM系统：如ELK Stack（Elasticsearch, Logstash, Kibana）、Graylog或Splunk。它们可以集中收集所有服务器的SSH日志，提供强大的实时搜索、可视化仪表板和告警功能，是大型企业安全运营中心（SOC）的核心。

四、解读日志条目：一个真实示例

让我们解析一条典型的日志记录：

Jun 15 14:30:25 server1 sshd[12345]: Failed password for invalid user admin from 203.0.113.45 port 56789 ssh2

• 时间戳：Jun 15 14:30:25
• 主机名：server1
• 进程：sshd[12345]
• 事件：Failed password（密码失败）
• 关键信息：尝试使用一个无效的用户名“admin”登录。
• 来源：IP地址 203.0.113.45，端口 56789。
• 协议版本：SSH2。

这条记录强烈暗示了一次定向的暴力破解尝试。攻击者正在尝试常见的用户名（admin）并猜测密码。

五、基于日志分析的安全最佳实践

1. 定期审查：将日志审查纳入日常或每周的运维流程。
2. 关注异常：特别留意非工作时间段的登录、来自陌生地理位置的IP、root用户的直接登录（建议禁用root的SSH密码登录）。
3. 主动响应：对于发现的可疑IP，可以立即使用防火墙（如iptables或firewalld）进行封禁：iptables -A INPUT -s 203.0.113.45 -j DROP。
4. 日志保护与轮转：确保日志文件权限正确（通常为640，root:adm或root:wheel），防止被篡改。配置logrotate，避免日志文件无限增长占满磁盘。
5. 强化SSH配置：结合日志分析发现的问题，考虑实施更严格的安全策略，如：禁用密码认证改用密钥对、更改默认SSH端口、使用TCP Wrappers或防火墙限制访问源IP。