| 用途 | 查看认证/授权/提权日志 |
|---|---|
| 语法 | tail/grep 读 secure|auth.log 或 journalctl |
| 所属 | rsyslog + PAM |
常用示例
常用示例
tail -n 100 /var/log/secure
grep 'Failed password' /var/log/secure | tail -n 20
grep 'Accepted' /var/log/secure | tail -n 20
grep 'sudo:' /var/log/secure | tail -n 20journal 等价查询
journal 等价查询
journalctl -u sshd --since today | grep -E 'Failed|Accepted'
journalctl -t sudo -n 30排查暴力破解：统计来源 IP 的失败次数再决定 fail2ban 策略；只看条数不看 IP 会误伤正常用户。