리눅스 서버 SSH 접속 로그 분석

SSH 로그 분석:

# 성공한 로그인
grep "Accepted" /var/log/auth.log | tail -20

# 실패한 로그인
grep "Failed password" /var/log/auth.log | tail -20

# IP별 실패 횟수
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

# 현재 접속 중인 사용자
w
who

# 최근 로그인 기록
last -20

# journalctl 사용
journalctl -u sshd --since "today" | grep -E "Accepted|Failed"

실패 로그인이 특정 IP에서 수백~수천 건이면 브루트포스 공격입니다. fail2ban이 설치되어 있는지 확인하세요.