Linux账户认证日志集中收集与分析的核心是统一汇聚/var/log/secure或auth.log，通过rsyslog配置auth,authpriv.*的TCP转发，按IP分离存储，并用grep、awk等命令快速识别异常登录、sudo操作及root远程登录行为。

Linux账户认证日志集中收集与分析，核心在于把分散在各台服务器上的 /var/log/secure（RHEL/CentOS）或 /var/log/auth.log（Ubuntu/Debian）统一汇聚，并能快速定位异常行为。关键不在于堆砌工具，而在于配置可靠、路径清晰、权限可控、检索高效。

明确要收哪些日志内容

账户认证类日志主要来自 auth 和 authpriv 两个 syslog 设施（facility），它们分别对应：

• auth：普通认证事件，如 SSH 登录失败、PAM 模块调用；
• authpriv：敏感操作记录，如 sudo 执行、su - 切换、root 登录、密钥认证过程——这部分默认仅 root 可读，必须通过 rsyslog 转发时保留权限上下文。

转发规则中应写为 auth,authpriv.*，确保所有优先级（info、warn、err 等）都不遗漏。避免只写 auth.*，否则会漏掉 sudo 日志等关键线索。

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

用 rsyslog 实现稳定转发与接收

rsyslog 是最轻量、兼容性最好、也最易审计的方案。它不依赖 Java 或 Docker，适合生产环境长期运行。

• 源端（业务服务器）：新建 /etc/rsyslog.d/10-auth-forward.conf，写入：
  auth,authpriv.* @@192.168.10.100:514
  注意用双 @@ 表示 TCP 协议，保障不丢包；UDP（单 @）在高并发登录场景下极易丢失失败记录。
• 服务端（集中日志服务器）：启用 TCP 输入模块，在 /etc/rsyslog.conf 中取消以下两行注释：
  $ModLoad imtcp
$InputTCPServerRun 514
  再新建 /etc/rsyslog.d/20-by-host.conf，按来源 IP 分离存储：
  if $fromhost-ip == '192.168.1.11' then /var/log/hosts/app01-auth.log & stop
• 重启两端 rsyslog：sudo systemctl restart rsyslog，并用 ss -tlnp | grep :514 验证监听状态。

快速识别异常登录行为

集中存储后，日志分析不再靠肉眼翻页，而是用结构化命令直击重点：

• 统计高频失败登录 IP：
  grep "Failed password" /var/log/hosts/app01-auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head -10
• 查某用户所有 sudo 操作（含命令）：
  grep "sudo:" /var/log/hosts/app01-auth.log | grep "username"
• 找 root 的远程登录记录（高风险动作）：
  grep "Accepted.*for root from" /var/log/hosts/app01-auth.log
• 配合时间范围过滤（例如最近 2 小时）：
  journalctl --since "2 hours ago" -u sshd | grep "Failed"（适用于本地 systemd-journald 日志）

补充建议：权限与轮转不可少

集中日志目录（如 /var/log/hosts/）必须设为 750，属主 root，属组 adm 或 syslog，防止普通用户读取他人日志；同时为每个主机日志文件配置 logrotate，避免单个文件无限增长。可在 /etc/logrotate.d/remote-auth 中添加：

/var/log/hosts/*.log {
daily
missingok
rotate 30
compress
delaycompress
notifempty
create 640 root adm
}