Analisador de Log auth.log (SSH)

Um servidor com a porta 22 aberta acumula milhares de tentativas de login por dia, e o auth.log cresce até virar um arquivo grande demais para ler linha a linha. Cole o conteúdo aqui e a página separa o que interessa: quantas falhas houve, de quais endereços vieram, quais nomes de usuário os atacantes chutaram e se alguém chegou a entrar. O texto não sai da aba do navegador.

A contagem trata a linha message repeated 4 times como quatro falhas, e não como uma só. Isso muda bastante o número final, já que um bloco de força bruta com 200 tentativas costuma ocupar meia dúzia de linhas no arquivo. O carimbo de tempo do syslog, no formato Jul 25 03:14:15, não guarda o ano, então a ordem cronológica adotada é a ordem das próprias linhas, que é como o syslog grava.

O sinal que vale procurar não é o volume de falhas, é a coincidência. Um IP que aparece com 400 falhas e, no meio delas, um Accepted password fica destacado em vermelho na tabela: a senha caiu. Bloquear o endereço, nesse caso, resolve pouco. O passo seguinte é trocar a credencial, revisar o authorized_keys da conta e olhar o que foi executado depois daquele horário.