认证日志是第一现场
认证日志是应急响应的第一现场：RHEL 系看 /var/log/secure，Debian 系看 /var/log/auth.log，使用 systemd 的环境可以直接用 journalctl 兜底查询。登录成功与失败的记录、sudo 的使用、SSH 的认证过程都在这里。分析之前要先确认主机时间同步，时间线不可信的话，后续所有关联分析都会失真。
基本信息
| 适用平台 | Linux |
|---|---|
| RHEL 系路径 | /var/log/secure |
| Debian 系路径 | /var/log/auth.log |
| 兜底方式 | journalctl -u sshd |
| 风险等级 | 中 |
| 基线要求 | 认证日志完整可查且权限受限 |
典型使用场景
- 排查暴力破解的来源与尝试次数
- 确认某个账号在什么时间从哪个地址登录成功
- 应急响应时建立完整的登录时间线
- 核查 sudo 提权操作记录
- 排查日志断档造成的时间线缺口
- 与防火墙封禁动作对照验证效果
查看与统计
查看与统计
tail -n 50 /var/log/secure # RHEL 与 CentOS 系
tail -n 50 /var/log/auth.log # Debian 与 Ubuntu 系
journalctl -u sshd -n 50 --no-pager # systemd 环境的兜底查询
grep -ic 'failed password' /var/log/secure 2>/dev/null # 统计失败口令次数
last -f /var/log/wtmp | head # 最近的登录记录
ls -l /var/log/secure /var/log/auth.log 2>/dev/null # 确认日志文件权限检查项与判读
| 检查项 | 含义 | 判读 |
|---|---|---|
| 日志文件权限 | 谁能读取认证日志 | 应为 root 专属，640 或 600 |
| 失败口令记录 | 认证失败次数与来源 | 集中来自少数地址即为爆破 |
| 登录成功记录 | 账号与来源地址 | 非预期来源需立即核查 |
| sudo 记录 | 提权命令与执行者 | 与变更记录比对 |
| 时间戳 | 记录时间是否连续 | 断档说明日志被清理或轮转异常 |
分析认证日志之前先确认 NTP 同步状态：时间线一旦不可信，之后所有关联分析都会失真。
认证日志的位置会随发行版与 syslog 实现变化，拿不准时统一用 journalctl 查询更稳妥。
日志文件权限应当只给 root（640 或 600）：权限过宽等于把服务器上的情报直接送给已经落地的攻击者。
认证日志往往是最先从轮转中消失的文件：把关键时间段的记录导出备份，或者把日志转发到集中平台，避免事后回溯时发现需要的日期已经查不到。