인증 로그에서 Invalid user만 추출하기 LPIC›로그 분석·보통

새벽에 서버 부하가 튀었다는 알림을 받고 인증 로그를 열어 보면, 존재하지도 않는 계정명으로 SSH 접속을 시도한 기록이 수천 줄씩 쌓여 있는 경우가 있습니다. 관리자는 이때 어떤 계정명이 공격에 쓰였는지 목록으로 뽑아, 실제로 그 이름의 계정이 서버에 있는지 확인하고 차단 정책이나 방화벽 규칙을 조정합니다.

리눅스는 SSH를 포함한 인증 관련 사건을 텍스트 로그 파일에 한 줄씩 기록하며, 각 줄은 공백으로 구분된 필드가 일정한 순서로 배열되는 구조를 가집니다. 이런 형태의 데이터는 조건에 맞는 줄을 골라내는 grep, 줄을 필드 단위로 잘라 원하는 부분만 뽑는 awk, 그리고 정렬과 중복 처리를 담당하는 sort·uniq를 파이프로 이어 다루는 것이 기본입니다.

혼동하기 쉬운 지점은 '줄 단위 필터링'과 '필드 단위 추출'의 차이입니다. 패턴이 든 줄을 찾는 것과 그 줄 안에서 특정 위치의 값만 꺼내는 것은 다른 작업이며, 로그 형식이 바뀌면 필드 위치도 함께 달라진다는 점을 염두에 두어야 합니다. 이런 텍스트 처리 파이프라인 구성 능력은 LPIC-1 시험 범위의 핵심이고, 시스템 관리자나 보안 담당자가 일상적으로 쓰는 기술입니다.