| 配对键 | 来源 IP + 账号 |
|---|---|
| 窗口 | 失败序列与成功记录的时间间隔 |
配对查看
配对查看
grep -E 'Failed password|Accepted password' /var/log/auth.log | grep '203.0.113.10' | tail -20
zgrep -E 'Failed password|Accepted password' /var/log/auth.log.* | tail -5成功一次不代表攻击者已交互登录：看是否伴随会话建立与后续命令。
爆破成败配对：失败序列找成功
爆破分析的常规动作是找失败与成功的配对：同一来源在密失败序列后出现成功，该成功记录的上下文要重点审查。
易错点
- 来源 IP 可能被多个来源共享（NAT/代理）
- 轮转与压缩文件要一起检索
数据来源与参考
- OpenSSH 日志格式文档
- SANS 认证日志资料