As tentativas de login válidas também são registradas, portanto, se você vir uma tentativa de força bruta seguida por um sucesso, isso é uma boa indicação de que algo ruim aconteceu.
Eu uso o DenyHosts para monitorar meus logs em busca de tráfego SSH suspeito, e eu o configurei para proteger automaticamente os hosts em um determinado ponto .
Observe que há várias outras maneiras de monitorar sua máquina para verificar se ela está comprometida, incluindo padrões de carga, atividade de login, verificação periódica de tráfego, monitoramento de processos em execução e portas abertas e garantia da integridade de arquivos com uma ferramenta como tripwire.
Se você for fazer um só, monitorar a carga do sistema é uma maneira muito eficaz de detectar comprometimentos, porque a maioria das máquinas comprometidas é usada para fazer coisas como enviar grandes quantidades de spam ou receber muito tráfego. Talvez não seja útil se você é um alvo de alto valor e as pessoas podem estar tentando especificamente invadir você por outras razões além de transformar seu host em um zumbi, mas valioso, no entanto. Mais carga de monitoramento é necessária para criar perfis e descobrir quando você precisa investir em mais hardware ou software melhor.
Você também deve fazer uma análise de log abrangente, olhando para auth.log e outros para coisas que são inesperadas. A análise de arquivos de log é um mercado competitivo e o problema ainda não foi resolvido, mas existem ferramentas gratuitas como o logwatch, que podem ser configuradas para enviar resumos diariamente.
Segurança através de camadas!