sshd
geralmente registra via syslog. Por padrão, ele procura o recurso AUTH ou AUTHPRIV, embora você possa modificá-lo através da opção de configuração SyslogFacility no seu arquivo sshd_config
.
Para descobrir onde as mensagens do syslog vão, procure em /etc/syslog.conf
, que contém linhas semelhantes a:
authpriv.* /var/log/secure
Este exemplo envia todas as mensagens AUTHPRIV para /var/log/secure
. Você encontrará algo semelhante em seu sistema.