万一、サーバーに不正ログインがあった場合のため、
1日1回、auth.log内のAcceptedのログのアクセス先、from xxxx.xxxx.xxxx.xxxx をチェックし、別途登録した
アドレス以外からのログインが有った場合には、メールを送ることを、シェルスクリプトで書けないでしょうか?
よろしく、お願いします。
できると思います。
auth.logからAcceptedを含む行を抽出し、許容するアドレスを列挙したsafe.listを使って、許容するアドレスを含まないものに絞り込みます。
結果を変数safe.listに格納しておき、あとは変数${safe.list}の内容をメール送信します。
実用にはもう少し厳密に行抽出をした方がよいと思いますが、考え方は使えると思います。
unsafe=$(cat auth.log | grep -E 'Accepted' | grep -v -f safe.list)
auditd
というシステム監査用のコンポーネントが提供されています。参考:第6章 システム監査 Red Hat Enterprise Linux 7 利用例として How To Track Successful And Failed Login Attempts In Linux が参考になるかと思います。