在CentOS系统中，日志文件通常位于/var/log目录下。要识别异常登录尝试，可以查看以下两个主要的日志文件：
/var/log/secure：这个文件记录了与安全相关的事件，如SSH登录尝试、用户权限更改等。/var/log/auth.log：这个文件记录了认证相关的事件，如用户登录和注销、密码更改等。要识别异常登录尝试，可以使用grep、awk、sed等文本处理工具来分析这些日志文件。以下是一些示例命令：
grep 'Failed password' /var/log/secure
awk '{print $1, $3, $9}' /var/log/secure | grep ':22' | sort | uniq -c | sort -nr
grep 'sshd' /var/log/secure | awk '{print $11}' | cut -d: -f1 | sort | uniq -c | sort -nr
grep 'sshd' /var/log/secure | awk '{print $1, $2, $3, $9}' | grep '^\w\{3\} \d\{1,2\} \d\{2\}:\d\{2\}:\d\{2\}'
这些命令可以帮助你识别异常登录尝试。但是，为了更有效地防止未经授权的访问，建议采取以下措施：
