A que horas ele entrou

Mesmo auth.log. Você já sabe que usuario_backup foi invadido a partir de 203.0.113.45. Para a linha do tempo do incidente, falta o horário: a que horas o atacante de fato entrou?

Quer dizer: o horário da linha em que o login da conta invadida foi aceito. Responda com a hora no formato tocaia{hh_mm_ss}, com os dois-pontos trocados por sublinhado. Exemplo de forma: tocaia{23_05_09} seria 23:05:09.