| 日志位置 | /var/log/auth.log（Debian 系）或 /var/log/secure（RHEL 系） |
|---|---|
| 关键特征 | 密集 Failed password 之后出现 Accepted |
| 第一步 | 按来源 IP 聚合失败次数 |
| 第二步 | 筛查成功登录，重点是陌生 IP 与新账号 |
失败来源聚合与成功对照
失败来源聚合与成功对照
grep -h 'Failed password' /var/log/auth.log* 2>/dev/null | grep -oE 'from [^ ]+' | awk '{print $2}' | sort | uniq -c | sort -rn | head -n 10
grep -hE 'Accepted (password|publickey)' /var/log/auth.log* 2>/dev/null | tail -n 20
zgrep -h 'Accepted' /var/log/auth.log.*.gz 2>/dev/null | tail -n 20爆破很常见，重点是问三句：有没有成功登录、登录的是哪个账号、成功后执行了什么（对照 history 与进程时间）。