auth.log

Полезно посматривать кто у вас в систему заходит и кто в неё ломится - порой становятся видны не закрытые участки куда применяется атака.

Зашел на один из своих linux-северов, где особо ничего нет, он для экспериментов, поэтому особо там не заморачивался. Вот кусочек /var/log/auth.log

2026-09-07T10:51:55.038295+03:00 msk-1-vm-w36p sshd[84208]: Invalid user blockchain from 195.34.106.205 port 59484
2026-09-07T10:52:11.703919+03:00 msk-1-vm-w36p sshd[84237]: Failed password for invalid user admin from 195.34.106.205 port 45236 ssh2
2026-09-07T10:52:19.330452+03:00 msk-1-vm-w36p sshd[84243]: Failed password for invalid user docker from 14.177.239.45 port 24766 ssh2
2026-09-07T10:52:20.553816+03:00 msk-1-vm-w36p sshd[84245]: Failed password for invalid user docker from 195.34.106.205 port 34922 ssh2
2026-09-07T10:52:21.980802+03:00 msk-1-vm-w36p sshd[84249]: Invalid user mysql from 195.34.106.205 port 36008
2026-09-07T10:52:22.045492+03:00 msk-1-vm-w36p sshd[84249]: pam_unix(sshd:auth): check pass; user unknown
2026-09-07T10:52:22.555981+03:00 msk-1-vm-w36p sshd[84247]: Invalid user wallet from 14.177.239.45 port 7995
2026-09-07T10:52:22.833816+03:00 msk-1-vm-w36p sshd[84247]: pam_unix(sshd:auth): check pass; user unknown
2026-09-07T10:52:32.849410+03:00 msk-1-vm-w36p sshd[84256]: Failed password for invalid user cloud from 195.34.106.205 port 50056 ssh2
2026-09-07T10:52:40.918673+03:00 msk-1-vm-w36p sshd[84260]: Failed password for invalid user solana from 195.34.106.205 port 50078 ssh2
2026-09-07T10:52:47.941420+03:00 msk-1-vm-w36p sshd[84264]: Failed password for root from 14.177.239.45 port 58113 ssh2

Атака слепая, пытаются просунуть всякий бред в надежде угадать (и ведь могут): docker, blockchain, admin, mysql, solana и конечно же root. Тем не менее пока с вашей системой всё в порядке, вы обычно не видите что происходит, а там кипит работа.

Проверим успешные входы в систему - команда last
root@msk-1-vm-w36p:~# last
root pts/0 <ip> Mon Sep 7 10:50 still logged in
root pts/0 <ip> Mon Sep 7 10:44 - 10:49 (00:04)
root pts/1 <ip> Sun Sep 6 15:54 - 16:00 (00:06)
root pts/0 <ip> Sun Sep 6 15:40 - 02:04 (10:24)
reboot system boot 6.8.0-139-generi Sun Sep 6 13:12 still running
dev pts/0 <ip> Wed Sep 2 15:50 - 15:58 (00:07)
root pts/1 <ip> Mon Aug 31 13:33 - 13:47 (00:14)
dev pts/0 <ip> Mon Aug 31 13:08 - 16:19 (03:10)
reboot system boot 6.8.0-138-generi Sun Aug 30 07:25 - 13:08 (7+05:43)
dev pts/0 <ip> Mon Aug 24 14:41 - 14:48 (00:07)
root pts/0 <ip> Sat Aug 22 22:29 - 04:08 (05:38)

Здесь только мои заходы и следы рестарта псевдопользователем reboot (почему-то оно здесь)

Неудачные попытки можно посмотреть командой lastb, но сразу ставьте ограничитель вывода, там скорее всего простыня
root@msk-1-vm-w36p:~# lastb | more
crypto ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)
admin ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)
admin ssh:notty 2.57.122.150 Mon Sep 7 11:06 - 11:06 (00:00)
crypto ssh:notty 14.177.239.45 Mon Sep 7 11:06 - 11:06 (00:00)
admin ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)
admin ssh:notty 2.57.122.150 Mon Sep 7 11:06 - 11:06 (00:00)
crypto ssh:notty 14.177.239.45 Mon Sep 7 11:06 - 11:06 (00:00)
root ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)
wallet ssh:notty 14.177.239.45 Mon Sep 7 11:06 - 11:06 (00:00)
root ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)
wallet ssh:notty 14.177.239.45 Mon Sep 7 11:06 - 11:06 (00:00)
root ssh:notty 195.34.106.205 Mon Sep 7 11:06 - 11:06 (00:00)

Вот они все красивые. Более подробная информация в /var/log/auth.log, здесь более причесаный вывод.
Рекомендую сюда посматривать и своевременно принимать меры.