在 RHEL 6.6 上将 SSH 身份验证失败隔离到自己的日志文件中

Question

这可能是不可能的，但我有一个案例，我们希望将 SSH 身份验证失败与 RHEL 6.6 机器上的标准 SSH 日志记录分开。

我知道我们可以使用SyslogFacilitywithsshd_config来指定发送日志数据的位置，是否可以通过该方法仅发送SSH 身份验证失败？

编辑：如果不在sshdor 中sshd_config，如何在 syslog 端完成此操作？

Answer 1

rsyslog使这相对容易，因为您可以匹配到达的任何消息的各个方面。

包含这样的片段（在我的例子中，我将一个*.conf文件放入/etc/rsyslog.d/）：

if $programname == 'sshd' then {
    if $msg contains 'Invalid user' then { # adjust to your needs
        *.* -/var/log/sshd-fails.log
    }
    stop # discard all other messages from sshd
}

可以在此处找到文档。