Каким образом можно перехватывать сообщения auth.log

И смотрете в реал тайм =)

Спасибо.

Существуют готовые решения которые анализируют auth.log и выбирают только критические (определенные по фильтру) подключения?

Есть куча syslogd-реализаций, которые умеют и регекспы и какой-угодно-еще парсинг того, что пишется в системный журнал. Например, rsyslog.

Но если надо только для отладки - что мешает прикрутить нужный фильтр (sed/awk/perl) на выход tail?

да

tail -f /var/log/auth.log | grep " тут пишитечто надо видить"

Маленькое дополнение. После ротации логов процесс наблюдения застопорится.

У tail есть флаг, позволяющий этого избежать. man tail

Еще маленькое дополнение.

/var/log/auth.log ротируется еженедельно. Так что удачи, если кто собирается напороться на это при мониторинге в реальном времени :D

ну всё ж можно настроить :)

мне вот больше интересно, можно ли вместо файла указать скриптяру? например

auth.info;authpriv.info |/path/to/auth_log_realtime_parser.pl

... ну и он будет всё складывать в тот же /var/log/auth.log, а лакомые кусочки выбирать и отправлять по e-mail (или что там еще нужно)

потёр.. извените

Можно писать в именованный канал (man mkfifo), который в свою очередь - кормить скрипту. Синтаксис типа: "*.crit | /path/to/fifo".

Хотя продвинутые реализации syslogd (типа rsyslog) - возможно умеют писать прямо в stdin указанной программы. Типа того, что Вы предложили.

в самом деле, зачем выдумывать самописные костыли, если есть rsyslog?