真正有效的失败登录审计必须由auditd主导，配合sshd VERBOSE日志和rsyslog精确路由三层协同：启用auditd监控connect/accept/execve调用，配置sshd LogLevel VERBOSE并重载，通过rsyslog过滤归集失败事件到独立文件，禁用UseDNS等干扰项，并设置PAM失败锁定与简单告警脚本。
Linux 中配置用户登录失败的审计日志，不能只依赖 /var/log/secure 或 /var/log/auth.log 里的模糊记录（比如 “Invalid user” 或 “Failed password”），因为这些日志易被覆盖、缺少完整上下文（如真实源端口、SSH 协议版本、公钥指纹），且无法关联后续行为。真正有效的失败登录审计必须由 auditd 主导，配合 sshd 高级别日志 和 rsyslog 精确路由 三层协同实现。
启用 auditd 并监控关键系统调用
auditd 是唯一能从内核层捕获登录失败全过程的机制，尤其对暴力破解、代理穿透、非标准端口攻击等场景至关重要：
- 确保服务已启动：
sudo systemctl enable --now auditd；检查状态：systemctl is-active auditd必须为 active - 添加规则到
/etc/audit/rules.d/login-fail.rules（文件名必须以.rules结尾）：-a always,exit -F arch=b64 -S connect -F a2!=22 -F a2!=443 -k suspicious_connect-a always,exit -F arch=b64 -S accept -k login_accept-a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/sshd -F key=sshd_exec - 重载规则：
sudo augenrules --load；验证是否加载：sudo auditctl -l | grep -E "(connect|accept|sshd)"
强制 sshd 输出完整失败细节
默认 LogLevel INFO 会合并或省略失败原因，必须升级为 VERBOSE 才能生成可审计的事件链：
- 编辑
/etc/ssh/sshd_config，设置：LogLevel VERBOSEPrintLastLog yesAuthenticationMethods publickey,password（若启用多因子，避免日志中出现笼统的 “authentication failure”） - 不重启服务，执行：
sudo systemctl reload sshd（避免中断活跃连接） - 验证效果：尝试一次错误密码登录后，运行
sudo ausearch -m USER_AUTH -ts recent -i，应看到含res=failed、acct="xxx"、hostname、addr的完整条目
用 rsyslog 精确捕获并结构化失败事件
将 sshd 的 VERBOSE 日志与 auditd 事件统一归集，便于检索和告警：
- 在
/etc/rsyslog.d/20-login-fail.conf中添加：if $programname == 'sshd' and ($msg contains 'Failed' or $msg contains 'Invalid') then /var/log/ssh_fail.log$template FailFormat,"%timegenerated% %hostname% %syslogtag% %msg%\n"if $programname == 'sshd' and ($msg contains 'Failed' or $msg contains 'Invalid') then /var/log/ssh_fail.log;FailFormat - 重启 rsyslog：
sudo systemctl restart rsyslog - 测试并查看：
sudo tail -10 /var/log/ssh_fail.log，应包含源 IP、用户名、端口、认证方式等字段
补充：禁用模糊日志 + 设置基础告警
防止日志信息被弱化，同时建立最小可用基线：
- 禁止泛化记录：在
/etc/ssh/sshd_config中添加UseDNS no和IgnoreRhosts yes，避免因 DNS 解析失败产生干扰日志 - 限制失败尝试频次（辅助审计）：
sudo pam_tally2 --user xxx --reset配合pam_faildelay.so，并在/etc/pam.d/sshd中启用auth [default=die] pam_tally2.so deny=5 unlock_time=900 - 简单告警脚本示例（每日扫描）：
grep "Failed password" /var/log/ssh_fail.log | awk '{print $9,$11}' | sort | uniq -c | sort -nr | head -5—— 可快速定位高频攻击账号与 IP
