在CentOS上監控SSH活動可以通過多種方法實現，以下是一些常用的方法：
使用last命令：
last命令可以顯示用戶最近的登錄信息，包括SSH登錄。運行以下命令來查看所有用戶的登錄記錄：
last
如果你只想看某個特定用戶的登錄記錄，可以使用：
last username
查看auth.log日志文件：
SSH相關的認證和連接信息通常記錄在/var/log/auth.log文件中。你可以使用tail、less或grep等命令來查看這個文件的內容。例如：
sudo tail -f /var/log/auth.log
或者搜索特定的SSH相關事件：
sudo grep 'sshd' /var/log/auth.log
使用journalctl命令：
如果你的系統使用systemd，你可以使用journalctl命令來查看SSH服務的日志。例如：
sudo journalctl -u sshd
你可以使用-f選項來實時跟蹤日志更新：
sudo journalctl -u sshd -f
使用tcpdump進行網絡監控：
如果你想監控網絡層面上的SSH活動，可以使用tcpdump工具來捕獲和分析網絡數據包。例如，以下命令會捕獲所有到SSH端口（默認是22）的數據包：
sudo tcpdump -i any port 22
請注意，tcpdump需要root權限才能運行。
使用fail2ban監控并阻止惡意SSH嘗試：
fail2ban是一個用于監控日志文件并根據規則阻止惡意IP地址的工具。它可以用來防止暴力破解SSH密碼。安裝并配置fail2ban后，它會自動監控/var/log/auth.log或其他指定的日志文件，并在檢測到可疑活動時更新防火墻規則以阻止IP地址。
使用auditd進行審計：
auditd是Linux的審計系統，可以用來監控系統調用和文件訪問。你可以配置auditd來跟蹤SSH相關的系統調用和文件變化。這通常用于更高級的安全審計需求。
選擇哪種方法取決于你的具體需求和環境。對于大多數基本的監控需求，查看auth.log和使用last命令通常就足夠了。如果你需要進行更深入的分析或者防止自動化攻擊，可能需要考慮使用fail2ban或tcpdump。
