CentOS SSH如何進行日志審計

在CentOS系統中，SSH日志審計可以通過以下步驟進行：

1. 查看SSH日志文件

SSH的日志通常記錄在/var/log/secure文件中。你可以使用以下命令查看該文件的內容：

sudo tail -f /var/log/secure

或者查看最近一段時間的日志：

sudo grep "sshd" /var/log/secure

2. 配置SSH日志級別

你可以通過修改SSH配置文件/etc/ssh/sshd_config來調整日志級別。找到并修改以下行：

LogLevel VERBOSE

將LogLevel設置為VERBOSE可以提供更詳細的日志信息。修改后，重啟SSH服務以應用更改：

sudo systemctl restart sshd

3. 使用日志分析工具

為了更方便地分析SSH日志，你可以使用一些日志分析工具，例如grep、awk、sed等。以下是一些常用的命令示例：

查找特定IP的登錄嘗試

sudo grep "Failed password" /var/log/secure | grep "192.168.1.100"

統計登錄失敗的次數

sudo grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr

查找成功登錄的用戶

sudo grep "Accepted" /var/log/secure | awk '{print $9}' | sort | uniq -c | sort -nr

4. 使用日志管理工具

對于更復雜的日志管理和分析需求，你可以考慮使用專業的日志管理工具，例如ELK Stack（Elasticsearch, Logstash, Kibana）或Splunk。這些工具可以幫助你集中存儲、搜索和分析日志數據。

5. 定期備份日志文件

為了防止日志文件過大或丟失，建議定期備份日志文件。你可以使用rsync或cp命令進行備份：

sudo rsync -av /var/log/secure /path/to/backup/secure.log

或者直接復制：

sudo cp /var/log/secure /path/to/backup/secure.log

6. 設置日志輪轉

CentOS系統默認會使用logrotate工具來管理日志文件的輪轉。你可以編輯/etc/logrotate.d/sshd文件來自定義日志輪轉策略。例如：

/var/log/secure {
    daily
    missingok
    rotate 7
    compress
    notifempty
    create 640 root root
}

這個配置表示每天輪轉一次日志文件，保留最近7天的日志，并對舊日志進行壓縮。

通過以上步驟，你可以有效地進行CentOS系統的SSH日志審計，確保系統的安全性和可追溯性。