Расследование: следы взлома в auth.log

По журналу аутентификации восстановите, кто перебирал пароли, в какую учётную запись вошли и что сделали после входа.

linux.system
linux.bash

Задания

1. Масштаб атаки10 очк.
Сколько всего неудачных попыток входа по паролю (Failed password) записано в журнале?
2. Главный атакующий10 очк.
С какого IP-адреса было больше всего неудачных попыток?
3. Взломанная учётная запись15 очк.
Атакующему удалось войти. В какую учётную запись?
4. Время входа10 очк.
Во сколько (ЧЧ:ММ:СС) атакующий вошёл в систему?
5. Что он сделал15 очк.
Сразу после входа атакующий выполнил команду через sudo. Какую? Укажите команду с аргументом, как в журнале.
6. Список для блокировки20 очк.
Запишите в ~/report/attackers.txt все IP-адреса, с которых было 5 и более неудачных попыток, по одному на строку, отсортированные командой sort. Легитимного пользователя с одной ошибкой не трогайте.

Вводные и справка по командам

Ночью на веб-сервере web01 сработал мониторинг. Администратор снял копию журнала аутентификации в ~/evidence/auth.log. Восстановите картину событий.

Справка по командам

Команда	Что делает
`grep 'Failed password' файл`	строки с неудачными входами
`grep 'Accepted' файл`	успешные входы
`wc -l`	посчитать строки
`grep -oE 'from [0-9.]+'`	вырезать из строк только «from IP»
`sort \| uniq -c \| sort -rn`	посчитать повторы и поставить самые частые наверх
`awk '{print $NF}'`	последнее поле строки
`awk '$1 >= 5 {print $2}'`	вывести второе поле там, где первое не меньше 5
`mkdir -p ~/report`	создать каталог для отчёта

Запись Failed password for invalid user admin означает попытку входа в несуществующую учётную запись — типичный признак автоматического перебора.