새벽 시간대에 SSH 무차별 대입 시도가 있었다는 신고를 받고, 어제자 인증 로그와 이미 회전되어 압축된 로그를 함께 분석해 침해 보고서를 만들어야 합니다. /var/log/authlab/ 아래의 인증 로그(현재 로그 secure 와 회전된 secure-*.gz)에서 새벽 공격 시간대의 비밀번호 인증 실패만 뽑아 계정별·출발지별 집계 보고서를 작성하고, 가장 집요한 공격 IP 를 접근 거부 목록에 등록하세요.
원본 로그 파일은 수정하지 마세요. 회전된 .gz 로그를 빠뜨리면 집계가 틀립니다. 각 줄은 콜론 앞뒤에 공백 없이 '건수:값' 형식이어야 하고, 요구한 개수만큼만, 건수 내림차순으로 기록해야 합니다.
1. /var/log/authlab 의 현재 로그와 회전된 압축 로그를 모두 대상으로, 날짜와 무관하게 03:00:00~05:59:59 시각대에 기록된 'Failed password' 항목만 골라 로그인 대상 계정명별 실패 건수를 집계하고, 건수가 많은 상위 5개를 내림차순으로 /root/auth_report.txt 에 한 줄에 하나씩 '건수:계정명' 형식으로 기록하세요.
2. 같은 대상·같은 시간대 조건으로 출발지 IP별 실패 건수를 집계해 상위 3개를 내림차순으로 /root/auth_ip.txt 에 '건수:IP' 형식으로 기록하세요.
3. 같은 조건에 해당하는 인증 실패 전체 건수를 숫자 한 줄만 /root/auth_total.txt 에 기록하세요.
4. 실패 건수가 가장 많았던 출발지 IP 가 이후 ssh 접속을 하지 못하도록 TCP Wrapper 거부 목록 파일에 해당 IP 를 등록하세요.