常用命令
常用命令
last -a | head -20 # 成功登录历史
lastb | head -20 # 失败登录（部分发行版需 root）
who -a # 当前会话
# 认证日志位置：RHEL 系 /var/log/secure，Debian 系 /var/log/auth.log
grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head失败登录来源 IP 集中、非工作时段成功登录、root 直登等属于重点复核对象；把统计做成日报更易发现异常。