Что проверяется
- Команды сверяются с семействами из бестиария: если ваша история похожа на их сценарий, будет ссылка на описание.
- Типичные приёмы: ключ в authorized_keys, задания cron, скачивание и запуск скрипта, чистка истории, майнеры, отключение брандмауэра.
- В auth.log — сколько было неудачных входов и был ли успешный вход с адреса, который перед этим подбирал пароль.
Проверка знает только то, что видела ловушка этого сервера. Пустой результат не значит, что система чиста.