在Ubuntu系统中，日志文件通常位于/var/log目录下。要识别攻击行为，你需要关注以下几个日志文件：
/var/log/auth.log：这个文件记录了系统认证相关的信息，例如SSH登录、用户登录和sudo操作等。检查此文件中的异常登录尝试，例如来自陌生IP地址的多次失败登录尝试，或者非正常时间的登录。
/var/log/syslog：这个文件记录了系统的通用信息和错误。检查此文件中的异常信息，例如大量的错误消息、警告或者可疑的系统调用。
/var/log/apache2/access.log 和 /var/log/apache2/error.log：如果你在运行Web服务器，这两个文件分别记录了访问和错误信息。检查这些文件中的异常访问模式，例如来自陌生IP地址的大量请求，或者针对特定资源的频繁访问。
/var/log/nginx/access.log 和 /var/log/nginx/error.log：如果你在运行Nginx Web服务器，这两个文件的作用类似于Apache的访问和错误日志。检查这些文件中的异常访问模式。
要分析这些日志文件，你可以使用文本编辑器、grep命令或者其他日志分析工具。例如，要查找来自特定IP地址的所有登录尝试，可以使用以下命令：
grep 'Failed password' /var/log/auth.log | grep 'your_ip_address'
此外，你还可以使用一些日志分析工具，如Fail2ban、Logwatch等，来自动检测和阻止潜在的攻击行为。