как узнать ip входившего по ssh?

можно

# last

или

cat /var/log/auth.log

Если у злоумышленника уже есть рут, то это не поможет. Единственный вариант это ставить систему с нуля

обычно логи пишутся в /var/log/auth.log

Я думаю если его скомпрометировали, то найти будет сложновато, обычно следы за собой подчищают, хотя попробовать можно. На будущее могу посоветовать отправку сообщений на почту по логину.

добавлю пять копеек про смс по логину, очень удобно.

спасибо

а как именно? просто в .bashrc прописать скрипт, шлющий письмо/смс?

типа того.

Если у злоумышленника уже есть рут, то это не поможет. Единственный вариант это ставить систему с нуля

ну это само собой что не поможет. а вот про - «с нуля» не согласен категорически, достаточно контрольные суммы проверить и восстановить измененные файлы ну и слегка упороться по восстановлению картины проишедшего.

проверка контрольных сумм покажет изменения в кротабе и исполняемые файлы в /tmp?

etc как и все конфиги по уму нужно в mercurial/git и т.д хранить.

/tmp, /var/tmp и т.д. вычищать, на остальные не связанные с бинарниками каталоги делать noexec.

Мне проще переставить систему, чем считать контрольные суммы и т.д. Конфиги готовые, надо просто поставить пакеты из заранее известного списка

Мне проще переставить систему, чем считать контрольные суммы и т.д. Конфиги готовые, надо просто поставить пакеты из заранее известного списка

ну да. случаи бывают разные, твой вариант тоже имеет право на жизнь.

Файл /var/log/wtmp хранит информацию по сеансам, если его не поправил злоумышленник.

Прочитать его можно например таким скриптом:

#!/bin/bash

perl -we '

@type=("Empty","Run Lvl","Boot","New Time","Old Time","Init","Login","Normal","Term","Account");
$recs = ""; while (<>) {$recs .= $_};
foreach (split(/(.{384})/s,$recs)) {next if length($_) == 0;

my ($type,$pid,$line,$inittab,$user,$host,$t1,$t2,$t3,$t4,$t5) = $_ =~/(.{4})(.{4})(.{32})(.{4})(.{32})(.{256})(.{4})(.{4})(.{4})(.{4})(.{4})/s;
if (defined $line && $line =~ /\w/) {$line =~ s/\x00+//g;$host =~ s/\x00+//g;$user =~ s/\x00+//g;
printf("%s %-8s %-12s %10s %-45s \n",scalar(gmtime(unpack("I4",$t3))),$type,$user,$line,$host)}}print"\n"

' < /var/log/wtmp

Актуально запретить вход по ssh от имени root, а команды запускать используя sudo.