查看服务器的SSH日志可以帮助你监控和审计SSH访问，这对于安全监控和故障排除非常重要。以下是查看SSH日志的常用方法：
1. 使用 `tail` 或 `less` 命令查看日志文件
大多数Linux系统将SSH日志存储在 `/var/log/auth.log` 或 `/var/log/secure`（在某些基于Red Hat的系统上）文件中。
– 使用 `tail` 命令查看最新的日志条目：
sudo tail -n 100 /var/log/auth.log
这里 `-n 100` 表示显示日志文件的最后100行。
– 使用 `less` 命令查看日志文件：
sudo less /var/log/auth.log
`less` 命令允许你向前和向后导航日志文件。
2. 使用 `grep` 搜索特定的SSH日志条目
如果你正在寻找特定的日志条目，例如某个用户的登录尝试，可以使用 `grep`：
sudo grep 'username' /var/log/auth.log
或者如果你想查看所有SSH相关的日志条目：
sudo grep 'sshd' /var/log/auth.log
3. 使用 `journalctl` 命令（如果系统使用systemd）
如果你的系统使用systemd，你可以使用 `journalctl` 命令来查看SSH日志：
sudo journalctl -t sshd
如果你只想查看特定时间段的日志：
sudo journalctl --since "2023-01-01 00:00:00" --until "2023-01-02 00:00:00" -t sshd
4. 使用日志分析工具
如果你的服务器配置了日志分析工具（如Splunk、ELK Stack、Graylog等），你也可以通过这些工具的界面来查看和分析SSH日志。
注意事项：
– 需要具有管理员权限（通常需要 `sudo`）来查看日志文件。
– 根据你的Linux发行版和配置，SSH日志文件的位置和格式可能有所不同。
– 如果你已经更改了SSH服务的默认端口，那么相关的日志条目也会反映这一点。
– 日志文件可能会非常大，因此请考虑使用分页工具（如 `less` 或 `more`）或者使用 `tail` 的 `-n` 参数来限制查看的行数。
通过查看SSH日志，你可以监控失败的登录尝试、验证用户的登录行为、检测异常活动以及进行安全审计。
