مقدمه

SSH یکی از مهم‌ترین سرویس‌های هر سرور لینوکسی است. مدیران سرور از طریق SSH به سیستم متصل می‌شوند، تنظیمات را تغییر می‌دهند، سرویس‌ها را مدیریت می‌کنند و عملیات روزمره سرور را انجام می‌دهند.

به همین دلیل، بررسی لاگ‌های SSH یکی از مهم‌ترین اقدامات امنیتی و مدیریتی در لینوکس است. با بررسی این لاگ‌ها می‌توان ورودهای موفق، تلاش‌های ناموفق، حملات Brute Force، اتصال کاربران غیرمجاز و فعالیت‌های مشکوک را شناسایی کرد.

در این مقاله با محل ذخیره لاگ‌های SSH، دستورات کاربردی برای بررسی آن‌ها و روش تحلیل ورودهای موفق و ناموفق آشنا می‌شویم.

لاگ SSH کجاست؟

محل ذخیره لاگ‌های SSH به توزیع لینوکس بستگی دارد.

در Ubuntu و Debian معمولاً لاگ‌ها در فایل زیر قرار دارند:

/var/log/auth.log

در AlmaLinux، Rocky Linux، CentOS و RHEL معمولاً لاگ‌ها در فایل زیر ذخیره می‌شوند:

/var/log/secure

مشاهده لاگ‌های SSH در Ubuntu و Debian

برای مشاهده لاگ‌های مربوط به SSH:

sudo grep sshd /var/log/auth.log

برای مشاهده آخرین خطوط لاگ:

sudo tail -f /var/log/auth.log

مشاهده لاگ‌های SSH در AlmaLinux و Rocky Linux

در توزیع‌های مبتنی بر RHEL:

sudo grep sshd /var/log/secure

برای مشاهده زنده لاگ‌ها:

sudo tail -f /var/log/secure

بررسی ورودهای موفق

برای مشاهده ورودهای موفق از طریق SSH در Ubuntu و Debian:

sudo grep "Accepted" /var/log/auth.log

در AlmaLinux و Rocky Linux:

sudo grep "Accepted" /var/log/secure

نمونه خروجی:

Accepted publickey for maraladmin from 203.0.113.10 port 54218 ssh2

این خط نشان می‌دهد کاربر maraladmin با استفاده از SSH Key از IP مشخص‌شده وارد سرور شده است.

بررسی ورودهای ناموفق

برای مشاهده تلاش‌های ناموفق:

Ubuntu و Debian:

sudo grep "Failed password" /var/log/auth.log

AlmaLinux و Rocky Linux:

sudo grep "Failed password" /var/log/secure

نمونه خروجی:

Failed password for root from 198.51.100.22 port 44512 ssh2

این خط نشان می‌دهد یک تلاش ناموفق برای ورود با کاربر root از IP مشخص انجام شده است.

بررسی تلاش برای کاربران نامعتبر

گاهی مهاجمان با نام‌های کاربری تصادفی یا رایج تلاش به ورود می‌کنند.

برای مشاهده این موارد:

sudo grep "Invalid user" /var/log/auth.log

در AlmaLinux و Rocky Linux:

sudo grep "Invalid user" /var/log/secure

نمونه خروجی:

Invalid user admin from 198.51.100.22

این یعنی کاربری با نام admin اصلاً روی سیستم وجود ندارد، اما مهاجم تلاش کرده با آن وارد شود.

بررسی لاگ‌ها با journalctl

در سیستم‌هایی که از systemd استفاده می‌کنند، می‌توان لاگ‌های سرویس SSH را با journalctl نیز مشاهده کرد.

در Ubuntu و Debian:

sudo journalctl -u ssh

در AlmaLinux و Rocky Linux:

sudo journalctl -u sshd

برای مشاهده زنده:

sudo journalctl -u ssh -f

یا:

sudo journalctl -u sshd -f

مشاهده لاگ‌های امروز

برای مشاهده لاگ‌های امروز:

sudo journalctl -u ssh --since today

یا در سیستم‌های RHEL-based:

sudo journalctl -u sshd --since today

مشاهده لاگ‌های یک بازه زمانی خاص

برای مثال، لاگ‌های بین ساعت ۱۰ تا ۱۲:

sudo journalctl -u ssh --since "2026-07-07 10:00:00" --until "2026-07-07 12:00:00"

در AlmaLinux و Rocky Linux:

sudo journalctl -u sshd --since "2026-07-07 10:00:00" --until "2026-07-07 12:00:00"

استخراج IPهای مهاجم

برای مشاهده IPهایی که ورود ناموفق داشته‌اند:

Ubuntu و Debian:

sudo grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr

AlmaLinux و Rocky Linux:

sudo grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr

نمونه خروجی:

25 198.51.100.22
12 203.0.113.45
7 192.0.2.18

این خروجی نشان می‌دهد هر IP چند بار تلاش ناموفق داشته است.

بررسی آخرین ورودهای موفق

برای مشاهده آخرین ورودهای موفق کاربران:

last

برای مشاهده ورودهای یک کاربر خاص:

last maraladmin

بررسی آخرین تلاش‌های ناموفق

برای مشاهده تلاش‌های ناموفق ورود:

sudo lastb

اگر دستور lastb خروجی نداد، ممکن است فایل زیر وجود نداشته باشد یا لاگ مربوطه فعال نباشد:

/var/log/btmp

بررسی کاربران آنلاین

برای مشاهده کاربرانی که همین حالا وارد سیستم هستند:

who

یا:

w

چه مواردی مشکوک هستند؟

هنگام بررسی لاگ‌های SSH، این موارد نیاز به توجه دارند:

• تلاش‌های زیاد برای ورود با کاربر root
• تلاش برای کاربران نامعتبر مثل admin، test، oracle
• ورود موفق از IP ناشناس
• ورود در ساعت‌های غیرعادی
• ورودهای مکرر ناموفق از یک IP
• تغییر ناگهانی الگوی ورود کاربران

اگر ورود مشکوک مشاهده کردیم چه کنیم؟

اگر در لاگ‌ها ورود مشکوک یا تلاش‌های غیرعادی مشاهده شد:

• IP مهاجم را بررسی کنید.
• رمز عبور کاربران حساس را تغییر دهید.
• فایل authorized_keys کاربران را بررسی کنید.
• سرویس‌های فعال را بررسی کنید.
• کاربران جدید یا مشکوک را بررسی کنید.
• Fail2Ban را فعال یا تنظیم کنید.
• دسترسی SSH را بر اساس IP محدود کنید.

محدود کردن لاگ‌های زیاد

اگر لاگ‌های SSH بیش از حد زیاد هستند، معمولاً دلیل آن باز بودن SSH برای کل اینترنت است.

برای کاهش این وضعیت:

• SSH Key Authentication را فعال کنید.
• Password Authentication را غیرفعال کنید.
• Root Login را غیرفعال کنید.
• دسترسی SSH را فقط به IPهای مشخص محدود کنید.
• Fail2Ban نصب کنید.
• در صورت نیاز، پورت SSH را تغییر دهید.

اشتباهات رایج

برخی اشتباهات متداول عبارت‌اند از:

• بررسی نکردن لاگ‌های SSH
• نادیده گرفتن ورودهای موفق از IPهای ناشناس
• تمرکز فقط روی Failed Loginها
• حذف لاگ‌ها بدون بررسی
• فعال نبودن زمان صحیح سرور
• نداشتن ابزار Ban مانند Fail2Ban

چک‌لیست

هنگام بررسی لاگ‌های SSH، این موارد را کنترل کنید:

• ورودهای موفق بررسی شده‌اند.
• ورودهای ناموفق بررسی شده‌اند.
• IPهای پرتکرار شناسایی شده‌اند.
• کاربران نامعتبر بررسی شده‌اند.
• ورودهای غیرعادی از نظر زمان و IP بررسی شده‌اند.
• Fail2Ban یا محدودیت IP در صورت نیاز فعال شده است.

جمع‌بندی

بررسی لاگ‌های SSH یکی از پایه‌ای‌ترین اقدامات امنیتی در مدیریت سرور لینوکسی است. این لاگ‌ها نشان می‌دهند چه کاربرانی وارد سرور شده‌اند، چه IPهایی تلاش ناموفق داشته‌اند و آیا نشانه‌ای از حملات Brute Force یا فعالیت مشکوک وجود دارد یا خیر.

با بررسی منظم لاگ‌های SSH و ترکیب آن با اقداماتی مانند SSH Key Authentication، غیرفعال کردن Root Login، غیرفعال کردن Password Authentication، محدود کردن IP و نصب Fail2Ban می‌توان امنیت دسترسی از راه دور به سرور را به شکل قابل توجهی افزایش داد.

کیان پور