Linux SSH audit pour l'échec de la connexion de root

Je voudrais connaître l'historique des commandes du serveur A, c'est-à-dire trouver tous les utilisateurs qui ont exécuté ssh sur le serveur A.

Comme l'a dit Gilles à ce sujet sujet vous pouvez utiliser :

getent passwd | cut -d : -f 6 | sed 's:$:/.bash_history:' | xargs -d '\n' grep -s -H -e "ssh" 

Ajouter l'audit dans le serveur B de telle sorte que le message de journal montrera l'identification de l'OS du serveur A qui a essayé de faire ssh avec root de A.

Quel est le but de montrer l'identifiant de l'OS ? Et quel est cet identifiant ?

À moins que vous n'ayez pré-configuré l'audit avec auditd (pour enregistrer les appels à l'un ou l'autre des services suivants spécifiquement le client ssh o tous les exécutables/commandes ), il est peu probable que vous disposiez déjà d'un journal complet de tous les événements passés sur ce serveur particulier.

Vos admins peuvent avoir commis par erreur un sudo ssh server-B et cette action devrait être enregistrée (selon votre distribution) dans le fichier /var/log/[authlog | secure] .

Vous pourriez vérifier le ~/.bash_history de vos utilisateurs, mais cela n'aura qu'un enregistrement des actions de l'utilisateur dans les sessions de connexion interactives et n'enregistrera rien lorsque l'utilisateur outrepasse la collecte de l'historique des commandes ou lorsque les sessions ssh ont été par exemple initiées par un script.