web-dev-qa-db-ja.com

Red Hat Linuxのsshdログファイルはどこに保存されますか？

RedHatとSELinuxのSSHDログの場所を誰かに教えてもらえますか？ログを表示して、自分のアカウントに誰がログインしているかを確認したいと思います。

linuxsshredhatselinux
33
user150591

ログインレコードは通常、/ var/log/secureにあります。他のsyslogメッセージからログアウトしていない限り、SSHデーモンプロセスに固有のログはないと思います。

46
John

@johnの回答に加えて、一部のディストリビューションはデフォルトでjournalctlを使用しています。その場合は、おそらくsshdアクティビティを次のようにして確認できます。

_> journalctl _COMM=sshd

次のような出力が表示されます。

Abr 15 02:28:17 m sshd[26284]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Abr 15 02:28:18 m sshd[26284]: Failed password for root from 127.0.0.1 port **** ssh2
Abr 15 02:28:19 m sshd[26284]: Connection closed by 127.0.0.1 [preauth]
Abr 15 02:28:25 m sshd[26296]: Accepted password for **** from 127.0.0.1 port **** ssh2
Abr 15 02:28:25 m sshd[26296]: pam_unix(sshd:session): session opened for user **** by (uid=0)
Abr 15 02:28:28 m sshd[26301]: Received disconnect from 127.0.0.1: 11: disconnected by user
Abr 15 02:28:58 m sshd[26231]: Received signal 15; terminating.
Abr 15 02:28:58 m sshd[26828]: Server listening on 0.0.0.0 port 22.
6
marcio

ログは実際にはRHELシステムの/ var/log/secureにあります。 SSHD接続は次のようになります。

Jan 10 09:49:04 server sshd[28651]: Accepted publickey for [username] from x.x.x.x port 61000 ssh2
Jan 10 09:49:04 server sshd[28651]: pam_unix(sshd:session): session opened for user [username] by (uid=0)

アカウントが侵害されているかどうかを判断するための最も重要な部分は、IPアドレスです。

3
Ethabelle

RHEL/CentOS 7を使用している場合、システムはsystemdを使用しているため、journalctlを使用します。上記のように、journalctl _COMM=sshd。ただし、次のコマンドでこれを表示することもできます。

# journalctl -u sshd

次のコマンドでもredhatのバージョンを確認できます。

# cat /etc/*release

これにより、Linuxのバージョンに関するバージョン情報が表示されます。

1
86bornprgmr

チェックアウト /var/log/secure安全なログがローテーションされるため、以前のファイルも検索する必要がある場合があります。例えば。 /var/log/secure-20190903

ログファイルで特定の行を検索することもできます（サンプルのIPアドレスを生成するためにキーボードを叩いただけなので、あまり意味を持たないでください）。

Sudo grep -e 52.32.98.225 -e 56.33.22.215 /var/log/secure*
0
joar