[7.891][FEATURE][OPEN] failed ssh logins not warning

What solution do you suggest? Sendf a notification for 'SU failure' too?

Based on the fact that some-one has accessed my ASG successfully and it isn't recorded anywhere obvious to alert me that my ASG is being/or was accessed I would have considered a failed su attempt as a threat and should be notified.

Ian M

Based on the fact that some-one has accessed my ASG successfully and it isn't recorded anywhere obvious to alert me that my ASG is being/or was accessed I would have considered a failed su attempt as a threat and should be notified.

Ian M

Based on the fact that some-one has accessed my ASG successfully and it isn't recorded anywhere obvious to alert me that my ASG is being/or was accessed ... 

That means, you have disabled the notifications INFO-006 and INFO-007, "Successful SSH/console login"?

...I would have considered a failed su attempt as a threat and should be notified. 

I see your point, but if someone is already on your box, and if that person wants root access, there are many many ways to do this without the 'su' command. The only secure way to handle this situation is to not give someone ssh/console access. Notification on successful/failed 'su' is therefor often considered useless, because "it's to late".

I'll file a feature-request anyway.