SSH / auth.log パーサー

auth.log や /var/log/secure の行を、syslog ヘッダーを含めて1行に1件ずつ貼り付けてください。分類は、syslog タグ（プログラム名）とメッセージの組み合わせが既知の場合にのみ行います。sshd のイベント（Accepted、Failed、Invalid user、Connection closed、Disconnected）は sshd または sshd-session タグの行だけ、sudo の TTY/USER/COMMAND 行は sudo タグの行だけ、PAM の行（session opened / session closed / authentication failure）は pam_unix(service:type) の service が出力元プログラムと一致するか、既知の別名（OpenSSH 9.8 の sshd-session が pam_unix(sshd:…) を出力する形など）である場合だけ分類します。無関係なデーモンが同じ文面を出力していても「その他」のままにします。メッセージ本文だけでは SSH ログインの根拠にならないためです。一致した行からは、アカウント、認証方式、接続元ホストとポート、鍵のフィンガープリント、sudo の実行コマンドを記録どおりに取り出します。いずれの形にも一致しない行は無理に当てはめず「その他」として原文のまま残します。集計はあくまで計数で、アカウント別の認証成功数と、接続元ホスト別の失敗・不正ユーザー件数を表示します。接続元を攻撃者と判定したり、重要度を採点したり、連続失敗をブルートフォースと結論付けたりはしません。syslog のタイムスタンプには年とタイムゾーンが無いため、絶対時刻は表示しません。入力は 400,000 文字・2,000 行までです。すべてローカルで実行され、送信・保存・URL への記録は行いません。