sshd有相关日志信息可供查看审计分析：

linux下登录日志在下面的目录里： cd /var/log 

查看ssh用户的登录日志： less secure 

/var/log/secure：记录登入系统存取数据日志，例如 pop3, ssh, telnet, ftp 等都会被记录；

显示新增用户组成功记录。