| 用途 | 分析失败登录与处置 |
|---|---|
| 来源 | auth.log / secure / journal |
| 联动 | fail2ban / firewall-cmd --add-rich-rule |
统计 TopN
统计 TopN
# 失败来源 IP Top10
sudo grep 'Failed password' /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
# 失败用户名 Top10
sudo grep 'Failed password' /var/log/auth.log | awk '{for(i=1;i<=NF;i++) if($i=="for") print $(i+1)}' | sort | uniq -c | sort -rn | head
# journal 版本（RHEL）
sudo journalctl -u sshd --since '24 hours ago' | grep -c 'Failed password'封禁示例
封禁示例
sudo firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=203.0.113.7 reject'
sudo firewall-cmd --reload
# 或交给 fail2ban 自动：sudo fail2ban-client status sshd统计口径以实际日志格式为准（是否 -3 偏移取 IP 要现场核对）；正则不稳就先 grep 样本确认。