Linux: quién ha entrado y desde dónde

last -n 20                                   # últimos accesos correctos
sudo lastb -n 20                             # intentos fallidos
who                                          # sesiones abiertas ahora
sudo grep "Failed password" /var/log/auth.log | tail
sudo grep "Accepted" /var/log/auth.log | tail        # entradas correctas por SSH

Las IPs que más veces han fallado al entrar por SSH:

sudo grep "Failed password" /var/log/auth.log | grep -oE 'from [0-9.]+' | sort | uniq -c | sort -rn | head