история логинов ssh

$last kommersant

для текущего юзера выдало только за текущий месяц
пробовал под рутом так
#last другой логин
но ничего не выдало, хотя точно помню что логинился им как раз полгода назад

никак

В бэкапах за прошлый месяц?

Возможно кто-то потёр файлы в /var/log.

не терли
боты постоянно ломятся по ssh и логи распухают и чаще ротируются

Речь про файлы /var/log/{b,w}tmp. Они от неудачных попыток логина не пухнут. Посмотри даты их создания.

Возможно кто-то потёр файлы в /var/log.

И это был logrotate очевидно.

и логи распухают и чаще ротируются

Они у тебя по размеру ротейтятся что ли? Не по времени?

Ну можно конечно логротейт натравить на /var/log/{b,w}tmp. Поэтому мне и интересна дата их создания.

rotate 4
weekly

ls -lah /var/log/btmp
-rw-rw---- 1 root utmp 157K Фев 1 09:45 /var/log/btmp
ls -lah /var/log/wtmp
-rw-rw-r-- 1 root utmp 384 Фев 1 09:41 /var/log/wtmp

rotate 4
weekly

Ну вот они у тебя за 4 недели хранятся.

Ну можно конечно логротейт натравить на /var/log/{b,w}tmp

Да я что-то в принципе про /var/log ответил...

полез в /var/log/auth а там все загажено попытками взломать

fail2ban

запущен

Его мало просто запустить, боты, ломящиеся по ssh быстро подбирают безопасные интервалы, чтобы fail2ban их не банил. Его нужно настраивать так, чтобы интервалы имели рандомный разброс и прогрессивно увеличивались при повторных срабатываниях.

конечно странно почему неудачные попытки логина идут вперемешку с удачными