Linux /var/log/auth.log日志分析实例-linux运维-PHP中文网

Linux /var/log/auth.log日志分析实例

舞夢輝影

发布： 2025-10-28 10:12:01

原创

951人浏览过

/var/log/auth.log记录Linux系统身份验证事件，如SSH登录、sudo使用等，通过分析可发现异常行为。1. 常见条目包括SSH成功/失败登录、无效用户尝试、sudo命令执行和PAM认证失败，反映潜在安全威胁。2. 可用grep、awk等命令提取失败登录IP、root尝试、sudo操作等信息，快速定位风险。3. 实际案例中，通过查看Accepted记录发现异常IP频繁登录user1，结合iptables封禁并检查进程与登录历史。4. 安全建议：禁用root远程登录、启用密钥认证、部署fail2ban、最小化权限、定期轮换密码及日志轮转，提升系统安全性。

linux /var/log/auth.log日志分析实例

Linux系统中的/var/log/auth.log是记录与身份验证相关的安全事件的核心日志文件，常见于Debian、Ubuntu等发行版。它记录了用户登录、sudo命令使用、SSH访问尝试、PAM认证过程等关键行为。通过分析该日志，可以快速发现异常登录、暴力破解、权限提升等安全问题。

1. 常见日志条目类型及含义

SSH登录成功或失败：

Accepted password for user from 192.168.1.100 port 54322 ssh2：表示用户通过密码认证成功登录，注意来源IP是否可信。
Failed password for root from 10.0.0.5 port 22 ssh2：root账户登录失败，可能是暴力破解的迹象。
Invalid user admin from 198.51.100.1：尝试以不存在的用户名登录，典型扫描行为。

sudo命令使用记录：

user1 : TTY=pts/0 ; PWD=/home/user1 ; USER=root ; COMMAND=/bin/systemctl restart nginx：user1通过sudo执行了重启服务操作，可用于审计特权命令。

PAM认证失败：

ViiTor实时翻译

AI实时多语言翻译专家！强大的语音识别、AR翻译功能。

116

查看详情

pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=203.0.113.10：底层认证模块记录失败，结合rhost可定位攻击源。

2. 快速排查可疑行为的方法

利用常用命令组合快速提取关键信息：

查看最近的SSH失败登录：
grep "Failed password" /var/log/auth.log | tail -20
统计失败登录来源IP：
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr
检查root账户的登录尝试（包括成功和失败）：
grep "root" /var/log/auth.log | grep -E "(Failed|Accepted)"
监控sudo使用情况：
grep "sudo:" /var/log/auth.log
查找所有无效用户名尝试：
grep "Invalid user" /var/log/auth.log

3. 实际分析案例

假设发现服务器响应变慢，怀疑有异常登录：

执行：grep "Accepted" /var/log/auth.log | grep sshd
输出显示多个来自不同IP的“Accepted password for user1”，但你并未在此时段进行操作。
进一步查看这些IP：grep "Accepted.*user1" /var/log/auth.log | awk '{print $11}' | sort | uniq -c
发现某IP（如198.51.100.10）频繁出现。
结合fail2ban或防火墙，可将该IP加入黑名单：
iptables -A INPUT -s 198.51.100.10 -j DROP
同时检查该用户是否有异常进程：ps aux | grep user1 和 lastlog | grep user1