01Konum
- /var/log/auth.log* (rule 'auth,authpriv.* /var/log/auth.log', Ubuntu rsyslog 50-default.conf)
- /var/log/secure* (rule 'authpriv.* /var/log/secure', Red Hat-style rsyslog.conf)
02Yanıtladığı sorular
- Hangi hesaplar SSH üzerinden hangi yöntemle, hangi adres ve bağlantı noktasından kimlik doğruladı?
- Başarısız veya geçersiz kullanıcı denemeleri oldu mu, nereden?
- sudo veya su ile hangi ayrıcalıklı komutlar istendi?
03Biçim ve sürümler
| Biçim | Bir syslog hizmetinin (genellikle rsyslog) yazdığı satır tabanlı metin. Geleneksel RFC 3164 tarzında zaman damgası yıl içermeyen yerel 'Mmm dd hh:mm:ss' biçimindedir. |
|---|---|
| Geçerli olduğu sürümler | Dosya adları dağıtımın syslog kurallarına bağlıdır; yalnızca journal kullanan sistemlerde bu dosyalar hiç olmayabilir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Timestamp, host, program[pid] | İletiden önce gelen syslog başlık alanları. |
| sshd: 'Accepted <method> for <user> from <ip> port <port> ssh2' | Başarılı kimlik doğrulama; yöntem (ör. password veya publickey) ve varsa anahtar ayrıntıları izler. |
| sshd: 'Failed <method> for [invalid user ]<user> from <ip> port <port> ssh2' | Başarısız kimlik doğrulama; 'invalid user' var olmayan bir hesabı gösterir. |
| sshd: 'Invalid user <user> from <ip> port <port>' | Var olmayan bir hesap için bağlantı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Syslog timestamp | RFC 3164 'Mmm dd hh:mm:ss' local time (or a high-precision format if configured) | Yıl ve saat dilimi dosya bağlamından, döndürmeden ve sistem ayarlarından çıkarılmalıdır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Güncel ve döndürülmüş dosyaları (sıkıştırılmış olanlar dahil) ve bunları tanımlayan syslog yapılandırmasını toplayın.
- Zaman damgalarını dönüştürmeden önce her dosya için yılı ve saat dilimini belirleyin.
- sshd Accepted/Failed/Invalid user satırlarını çıkarın ve kaynak adrese ve hesaba göre gruplayın.
- Kabul edilen oturumları aynı PID ve zamana ait wtmp oturumları ve journal kayıtlarıyla eşleştirin.
07Yorum tuzakları
- sshd, parola dışı bazı başarısız denemeleri VERBOSE düzeyinde günlükler; varsayılan LogLevel INFO'da bunlar görünmeyebilir.
- sshd varsayılan olarak AUTH tesisini kullanır; değiştirilmiş SyslogFacility iletileri başka yere gönderir.
- Metin günlükleri kolayca düzenlenebilir; tutarlılık için journal ve wtmp ile karşılaştırın.
- Alıntılanan Red Hat tarzı kural rsyslog projesinin örneğinden gelir; proje bunun dağıtımın sunduğundan farklı olabileceğini belirtir.
09Kaynaklar
- rsyslog 8.2504.0-1ubuntu2 packaging diff (50-default.conf) Ubuntu Patches · erişim 2026-10-14
- rsyslog — platform/redhat/rsyslog.conf (sample) rsyslog project (GitHub) · erişim 2026-10-14
- OpenSSH portable — auth.c (auth_log) OpenSSH (GitHub) · erişim 2026-10-14
- OpenSSH portable — sshd_config(5) OpenSSH (GitHub) · erişim 2026-10-14
- RFC 3164 — The BSD syslog Protocol IETF / RFC Editor · erişim 2026-10-14
- ForensicArtifacts — artifacts/data/linux.yaml ForensicArtifacts project (GitHub) · erişim 2026-10-14