CentOS SSH如何进行日志审计

在CentOS系统中，SSH日志审计可以通过以下步骤进行：

1. 查看SSH日志文件

SSH的日志通常记录在/var/log/secure文件中。你可以使用以下命令查看该文件的内容：

sudo tail -f /var/log/secure

或者查看最近一段时间的日志：

sudo grep "sshd" /var/log/secure

2. 配置SSH日志级别

你可以通过修改SSH配置文件/etc/ssh/sshd_config来调整日志级别。找到并修改以下行：

LogLevel VERBOSE

将LogLevel设置为VERBOSE可以提供更详细的日志信息。修改后，重启SSH服务以应用更改：

sudo systemctl restart sshd

3. 使用日志分析工具

为了更方便地分析SSH日志，你可以使用一些日志分析工具，例如grep、awk、sed等。以下是一些常用的命令示例：

查找特定IP的登录尝试

sudo grep "Failed password" /var/log/secure | grep "192.168.1.100"

统计登录失败的次数

sudo grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr

查找成功登录的用户

sudo grep "Accepted" /var/log/secure | awk '{print $9}' | sort | uniq -c | sort -nr

4. 使用日志管理工具

对于更复杂的日志管理和分析需求，你可以考虑使用专业的日志管理工具，例如ELK Stack（Elasticsearch, Logstash, Kibana）或Splunk。这些工具可以帮助你集中存储、搜索和分析日志数据。

5. 定期备份日志文件

为了防止日志文件过大或丢失，建议定期备份日志文件。你可以使用rsync或cp命令进行备份：

sudo rsync -av /var/log/secure /path/to/backup/secure.log

或者直接复制：

sudo cp /var/log/secure /path/to/backup/secure.log

6. 设置日志轮转

CentOS系统默认会使用logrotate工具来管理日志文件的轮转。你可以编辑/etc/logrotate.d/sshd文件来自定义日志轮转策略。例如：

/var/log/secure {
    daily
    missingok
    rotate 7
    compress
    notifempty
    create 640 root root
}

这个配置表示每天轮转一次日志文件，保留最近7天的日志，并对旧日志进行压缩。

通过以上步骤，你可以有效地进行CentOS系统的SSH日志审计，确保系统的安全性和可追溯性。