O registro de quem tentou entrar no servidor, com sucesso ou não.
No Linux, as tentativas de login ficam num log de autenticação (por exemplo /var/log/auth.log). O serviço de acesso remoto (sshd) escreve uma linha a cada tentativa. Duas formas aparecem o tempo todo:
Oct 20 02:13:07 servidor sshd[2017]: Failed password for usuario_backup from 203.0.113.45 port 51077 ssh2
Oct 20 02:14:07 servidor sshd[2030]: Accepted password for usuario_backup from 203.0.113.45 port 51224 ssh2
Leia os campos: a data e hora no começo, o usuário depois de for, e o endereço de origem depois de from. Failed password é uma tentativa que errou a senha; Accepted password é uma que entrou. Também existe Accepted publickey, que é entrada por chave, comum em serviços automáticos.
Numa linha do sshd, a data e hora vêm no começo, o usuário depois de for e o endereço de origem depois de from; Failed password é senha errada e Accepted password é uma entrada.
Com isso você responde as três perguntas de sempre: de qual endereço vieram as tentativas (from), qual conta foi alvo (for) e a que horas alguém de fato entrou (a linha Accepted).
