ログ監視ツール「swatch」を導入

してみました。

インストールはyumです。
設定はこちらのサイトを参考に。
http://www.fmmc.or.jp/fm/nwmg/TL6.1Svr/secure/scuretools2.html

起動スクリプトとログローテート対策はこちらのサイトを参考にしました。
http://www.marronkun.net/linux/security/swatch_1.html
※起動スクリプトの対象ログがmaillogになってましたが、自分の環境に設置する際はmessagesに変更しました。

設定し終えてTeraTermを終了したら、さっそく「session closed for user ****」というメールが届いてたので動作はＯＫのようです。
あとは実際に運用しながら設定ファイルを調整していく感じになりそうです。