远程登录常见关键词
1. 访问控制和身份验证:
登录成功：
登录 (login)认证 (authentication)授权 (authorization)已登录 (logged in)已认证 (authenticated)会话开始 (session started)连接 (connected)
登录失败：
失败的登录尝试 (failed login attempt): 多次失败的登录尝试可能指示暴力破解攻击。未授权访问 (unauthorized access): 尝试访问未经授权的资源或执行未经授权的操作。账户锁定 (account lockout): 由于多次失败的登录尝试而导致账户被锁定。
其他：
权限提升 (privilege escalation): 用户或进程尝试获取比其被授予的更高的权限。密码更改 (password change): 未经授权的密码更改可能指示账户已被盗用。sudo： 使用sudo命令执行特权操作，需要检查命令内容和执行用户。
2. 数据操作:
数据泄露 (data breach): 敏感数据被未经授权的访问或泄露。数据修改 (data modification): 未经授权的数据修改可能指示恶意活动。数据删除 (data deletion): 未经授权的数据删除可能导致数据丢失或破坏。文件复制/移动 (file copy/move): 特别是涉及敏感文件的复制或移动操作。异常的文件活动 (unusual file activity): 例如，在非工作时间或来自异常位置的文件访问。
3. 网络活动:
连接尝试 (connection attempt): 来自未知或可疑 IP 地址的连接尝试。端口扫描 (port scan): 扫描系统上的开放端口以寻找漏洞。恶意软件 (malware): 检测到恶意软件或病毒。入侵检测 (intrusion detection): 入侵检测系统 (IDS) 触发警报。DDoS攻击 (DDoS attack): 分布式拒绝服务攻击。异常的网络流量 (unusual network traffic): 例如，大量的数据传输到外部服务器。
4. 系统事件:
系统崩溃 (system crash): 可能是由于恶意软件或攻击造成的。服务中断 (service disruption): 关键服务的中断可能指示攻击。内核错误 (kernel error): 可能指示系统漏洞或恶意软件活动。rootkit： 隐藏恶意软件存在的工具。启动项修改 (startup item modification): 恶意软件可能修改启动项以在系统启动时自动运行。
5. 其他关键词:
错误 (error): 各种类型的错误消息可能提供有关安全事件的线索。警告 (warning): 警告消息可能指示潜在的安全风险。异常 (anomalous) / 异常活动 (anomalous activity): 任何偏离正常行为的活动都应被视为可疑。可疑 (suspicious): 任何被标记为可疑的活动都应进行调查。