Fiche : Surveiller son serveur

À retenir

• /var/log/auth.log contient toutes les connexions ; il se lit avec sudo.
• « Failed password » et « Invalid user » : des robots, c'est normal. « Accepted » d'une adresse inconnue : alerte !
• last : les dernières connexions ; sudo ss -tlnp : ce qui écoute.
• df -h, free -h, uptime, systemctl --failed : la santé.
• Automatiser : un script qui vérifie et prévient par e-mail.

Mémo

sudo grep "Failed password" /var/log/auth.log
sudo grep -c "Failed password" /var/log/auth.log
sudo grep "Accepted" /var/log/auth.log
last
journalctl -u ssh -n 30
sudo ss -tlnp
df -h
free -h
systemctl --failed

Pièges à éviter

• Paniquer devant des milliers d'échecs… et ne jamais regarder les réussites.
• Oublier sudo : « Permission non accordée » sur auth.log.
• Laisser le disque se remplir : à 100 %, plus rien ne s'écrit, ni journaux ni base de données.

Revoir la leçon et ses exercices