SSH 爆破与得手的判读是什么
SSH 爆破的典型形态是同一来源在短时间内产生大量失败记录，「得手」的信号则是同一来源出现成功登录，或该账号其后出现异常会话行为。两者必须按时间窗配对确认：只有失败记录，只能说明有人在尝试，不等于已经被入侵。
基本信息
| 关键字段 | 来源 IP、用户名、认证方式、结果、时间 |
|---|---|
| 失败记录 | Failed password、Failed publickey、Invalid user |
| 成功记录 | Accepted password、Accepted publickey |
| Windows 侧对应 | 4625 失败、4624 成功 |
典型使用场景
- 收到爆破告警，需要判断是否真的得手
- 排查可疑登录时，反向核对是否来自爆破来源
- 评估加固优先级：哪些账号被重点尝试
- 识别分布式低速率爆破（单看某个 IP 计数看不出来）
- 为封禁策略与 fail2ban 规则提供依据
- 统计被尝试的用户名，判断是否定向针对某个服务账号
聚合与配对
聚合与配对
grep 'Failed password' auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head # 按来源计数
grep 'Failed password' auth.log | awk '{print $(NF-5)}' | sort | uniq -c | sort -rn | head # 按用户名计数
grep '203.0.113.7' auth.log | grep -E 'Accepted|Failed' # 同一来源的全部记录
grep 'Accepted' auth.log | awk '{print $1,$2,$3,$9,$11}' # 成功登录清单
# 关键动作：把成功登录的时间点与失败波次的时间窗对齐比对形态判读
| 形态 | 特征 | 判读 |
|---|---|---|
| 单源高强度爆破 | 单个 IP 短时数千次失败 | 多为自动化扫描，通常失败即结束 |
| 分布式低速爆破 | 大量 IP 各尝试少量口令 | 必须按用户名聚合才可见 |
| 定向爆破得手 | 密集失败后出现同源成功 | 高优先级事件，立即核查后续行为 |
| 键盘交互攻击 | 不产生 Failed password 行 | 检索条目不全会漏判 |
键盘交互认证（keyboard-interactive）的失败不写成 Failed password，只用这一个条件检索会漏掉这类尝试。
成功登录也可能来自合法运维。得手判定还要看登录时间、来源归属，以及登录后的行为是否与日常一致。
封禁来源前先确认它是否为共享出口、云厂商地址、代理或合作方地址，误封会直接造成业务中断；建议先留观察期再永久封堵，并在处置记录里写明依据。