Listar tentativas de login com falha no Mavericks

Quero ver se alguém tentou fazer login no meu computador, que está executando o Mavericks. Estou interessado principalmente em rastrear tentativas de logon ssh, bem como em rastrear pessoas que digitam fisicamente senhas no teclado para tentar efetuar login.

Relacionado

Eu vi Como fazer login e logout no Mavericks? , mas lastparece listar apenas logons bem-sucedidos ou, pelo menos, mostra principalmente logons bem-sucedidos.

Também vi uma resposta sobre procurar em system.log ou "todas as mensagens", usando o utilitário do console, mas esses arquivos / mensagens parecem muito confusos.

Perguntas e respostas relacionadas para versões mais antigas do OSX

— Jacob Akkerboom
fonte

Você deseja rastrear o login ssh, o login do console local, o compartilhamento de tela e o terminal de abertura? O que significa "logon" e você está procurando alguma solução ou apenas uma que possa ser script de um shell?

— bmike

@bmike Não sei o que é um log de compartilhamento de tela. Estou interessado nas duas primeiras opções, shh e console local. Há algum tempo, minha conta em um servidor de amigos foi invadida, pois as credenciais que criamos eram tolas e habilitamos o ssh. Felizmente, nenhum dano foi causado. Eu queria saber se tais ataques poderia ser encontrado em um log, mas eu também estou interessado em pessoas digitando fisicamente senhas no meu teclado para tentar entrar.

— Jacob Akkerboom

Excelente refinamento sobre a questão. Eu pretendo perguntar como configurar um gatilho ssh para evitar tentativas repetidas de logon. As respostas aqui podem me dar algumas idéias sobre como implementar esse tipo de proteção automatizada.

— bmike

Você pode usar este comando Terminal:

cat /private/var/log/system.log | grep "Failed to authenticate"

Feb 11 16:48:04 g authorizationhost[15313]: Failed to authenticate user <grgarside> (error: 9).
Feb 11 16:48:06 g authorizationhost[15313]: Failed to authenticate user <grgarside> (error: 9).

— grg
fonte

+1. Infelizmente o system.log contém apenas entradas do dia 11 de fevereiro.

— Jacob Akkerboom

Algo como zgrep "whatever" /path/to/system.log*em algum processamento verificaria todos os logs compactados que permanecem no sistema. Gostaria de saber se existe uma maneira de chamar o logger do sistema apple para obter uma visão mais plana do conteúdo de vários arquivos de log.

— bmike

Tudo no Yosemite: BAD SUe incorrect passwordsão palavras-chave para procurar tentativas fracassadas de autenticação por sue sudorespectivamente. Ssh gera authentication error forneste mesmo arquivo de log. Não consegui gerar uma mensagem contendo Failed to authenticate.

— Jacob Akkerboom