| 来源 | /var/log/auth.log、/var/log/secure |
|---|---|
| 统计 | 按 from 后 IP 聚合 |
聚合
聚合
grep -oE 'from [0-9a-fA-F:.]+ port' /var/log/auth.log | awk '{print $2}' | sort | uniq -c | sort -rn | head -20
grep -c 'Failed password' /var/log/auth.log同一 IP 对多个账号失败，通常是字典爆破；单一账号多次失败更像是定向猜测。