AWS EC2实例auth.log日志解读及相关安全问题咨询

我来帮你逐个拆解这些问题：

1. 上述日志是否属于黑客攻击尝试？ #

从日志里的SSH连接请求以及该IP的恶意记录来看，这大概率是自动化的暴力破解攻击尝试。这类攻击会通过工具批量扫描公网IP的SSH端口，尝试用常见用户名密码组合登录服务器，是公网服务器非常常见的攻击行为。

2. last命令与auth.log日志的区别是什么？ #

这两者的记录核心和用途完全不同：

• last命令：主要记录成功登录系统的用户会话信息，包括登录用户、来源IP、登录/退出时间、会话时长等，相当于系统的「成功登录台账」。它读取的是二进制文件/var/log/wtmp，只能通过last这类工具解析查看。
• auth.log：属于系统的认证日志，会记录所有和身份验证相关的操作——不管是成功还是失败的登录尝试、sudo权限操作、SSH连接请求、甚至cron任务的权限校验都会在这里留下痕迹，是排查登录异常、攻击尝试的核心日志文件（部分Linux发行版可能命名为secure.log）。

3. CRON[17637]和sshd[17686]分别代表什么？ #

这是日志里的「进程标识格式」，结构为进程名[进程ID]：

• CRON[17637]：CRON是Linux系统的定时任务守护进程，17637是某次cron任务执行时生成的子进程ID，这条日志对应该定时任务执行过程中的认证或操作记录。
• sshd[17686]：sshd是OpenSSH的服务器守护进程，专门处理SSH连接请求，17686是这次处理59.173.173.107连接请求的子进程ID，所有和这次SSH连接相关的日志都会关联这个ID。

4. 日志行“Received disconnect from 59.173.173.107: 11: Normal Shutdown, Thank you for playing [preauth]”是什么含义？ #

咱们拆解一下这条日志的关键信息：

• Received disconnect from 59.173.173.107：服务器收到了来自该IP的断开连接请求。
• 11：SSH协议定义的断开原因码，11对应的就是「正常关闭」。
• Normal Shutdown, Thank you for playing：这是客户端发送的自定义断开提示语，有些恶意扫描工具会自带这类调侃式的内容。
• [preauth]：这个标记很重要，说明这次连接还未完成身份验证流程——也就是说，该IP在输入正确的用户名密码（或完成密钥验证）之前就主动断开了，大概率是扫描工具探测到SSH端口后，没有继续尝试登录就终止了连接，或者尝试了错误凭证后断开。

5. 这类日志属于正常情况吗？所有用户都会遇到吗？ #

对于暴露在公网的服务器（比如你的AWS EC2实例）来说，这类日志是完全正常的——几乎所有拥有公网IP的Linux服务器都会频繁收到这类自动化的SSH扫描或暴力破解尝试。但如果是内网服务器，或者没有将SSH端口开放到公网的机器，出现这类日志就不正常了，可能意味着内网存在恶意设备，或者端口被意外暴露到了公网。

内容的提问来源于stack exchange，提问作者KD.S.T.