| 用途 | 区分"尝试"与"得手" |
|---|---|
| 字段 | 来源 IP/用户名/结果/时间 |
聚合
聚合
grep 'Failed password' auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
# 再检索同 IP 的成功登录低速率分布式爆破要按用户名聚合而非仅按 IP。
SSH 爆破与得手的判读
爆破形态：来源 IP 短时大量 4625/failed；得手信号：同源 IP 出现 Accepted 或后续会话行为；两者按时间窗配对确认。
易错点
- 把失败当成功会过度响应，务必配成功记录核实
- 键盘交互认证失败不在 Failed password 里，检索条件要全
数据来源与参考
- DFIR 认证分析实践