Materi
Layanan SSH (sshd) menuliskan tiap percobaan masuk ke log autentikasi lewat syslog. Baris berbentuk: stempel waktu, nama host, 'sshd[PID]:', lalu pesannya. Dua kata pertama pesan yang paling penting bagi analis: 'Failed password' menandai login gagal, dan 'Accepted password' atau 'Accepted publickey' menandai login berhasil. Setelah itu disebut nama pengguna, kata 'from', lalu alamat IP sumber dan port. Contoh dari SP 800-92 (data berbeda dari latihan):
Mar 1 07:16:42 server1 sshd[9326]: Accepted password for murugiah from 10.20.30.108 port 1070 ssh2Bila nama pengguna yang dicoba tidak ada di server, sshd menuliskan 'Failed password for invalid user <nama>'. Frasa 'invalid user' itu sinyal kuat: pengguna sah jarang salah mengetik nama akun yang bahkan tidak ada, sedangkan percobaan masuk yang tidak sah sering mencoba nama umum seperti 'admin' atau 'test'. Menurut halaman sshd_config, bawaan MaxAuthTries adalah 6, artinya setelah setengah nilai itu kegagalan tambahan dalam satu koneksi mulai dicatat.
