Был ли мой SSH-сервер скомпрометирован? Если да, то как и какие шаги я должен предпринять?

Недавно я разрешил ssh доступ к моей машине для работы над групповым проектом с моими одноклассниками. Я прочитал руководство по настройке ssh в Ubuntu и попытался следовать правилам безопасности. Я отключил аутентификацию по паролю, поэтому единственный способ получить доступ был с ключами RSA, и у меня было только 2 ключа, перечисленных в файле авторизованных ключах: мой (использованный при тестировании, чтобы проверить, работает ли ssh) и друзья.

Этим вечером мне было любопытно посмотреть, был ли мой друг в моей системе ssh'd, когда я им пользовался, поэтому я гуглил команду, которая сообщит мне, был ли кто-нибудь в ssh'd, и если да, то , кто. Результат, который я получил, был:

sudo netstat -tnpa | grep ESTABLISHED.*sshd

Я попробовал это, и результат был:

tcp        0      0 192.168.1.86:22         59.47.0.150:44728       ESTABLISHED 7416/sshd: [accepte

Это выглядело неправильно. Я связался со своим другом, и он заверил меня, что он не вошел в систему. Я попробовал команду еще раз и увидел:

tcp        0      0 192.168.1.86:22         59.47.0.150:44728       ESTABLISHED 7416/sshd: root [pr

В этот момент я был немного взволнован словом «корень» и получил сообщение друг, который знал об этом больше, чем я. Он сказал мне попробовать:

 ps aux | grep ssh

, что вывело:

root      3702  0.0  0.0  61364  2872 ?        Ss   Apr12   0:00 /usr/sbin/sshd -D
root      7473  0.0  0.0 112692  3920 ?        Ss   20:46   0:00 sshd: root [priv]   
sshd      7474  0.0  0.0  62784  1516 ?        S    20:46   0:00 sshd: root [net]    
sid       7476  0.0  0.0  22476   936 pts/1    S+   20:46   0:00 grep --color=auto ssh

Теперь я был полностью взволнован, хотя я хотел немного подождать и посмотреть, смогу ли я узнать О том, кто вошел в систему, я решил просто sudo stop ssh.

После еще одного поиска, я обнаружил, что 59.47.0.150 является IP-адресом в / около Шэньяна, Китай, и, кажется, особенно известен за злонамеренные атаки .

Итак, мои вопросы к вам, ребята:

1. Можем ли мы с уверенностью сказать, что IP-адрес из Китая каким-то образом SSH проник в мою машину? Хотя он только принял авторизацию ключа RSA?

2. Можно ли с уверенностью сказать, что он / она также получил root-доступ? В моем ssh-config у меня было значение по умолчанию PermitRootLogin without-password. Первоначально я думал, что это означает, что вход в систему root не разрешен (я знаю, что эти два звука противоречивы, но я нашел их в Google, и это был результат, который я получил).

4. Есть ли способ узнать, какой урон был нанесен до сих пор?

5. Как я могу защититься от этого в будущем? Мне все еще нужно запустить ssh, чтобы завершить мой групповой проект.

Спасибо за любую помощь, которую вы можете предложить!

РЕДАКТИРОВАТЬ: Согласно совету saiarcot895 и Стивена, я проверил auth.log, в котором много раз повторялись следующие строки:

    Apr 13 20:43:50 PrometheusU sshd[7392]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=59.47.0.150  user=root
Apr 13 20:43:55 PrometheusU sshd[7394]: reverse mapping checking getaddrinfo for 150.0.47.59.broad.bx.ln.dynamic.163data.com.cn [59.47.0.150] failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 13 20:43:55 PrometheusU sshd[7394]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=59.47.0.150  user=root
Apr 13 20:43:58 PrometheusU sshd[7394]: Failed password for root from 59.47.0.150 port 54813 ssh2
Apr 13 20:44:03 PrometheusU sshd[7394]: message repeated 2 times: [ Failed password for root from 59.47.0.150 port 54813 ssh2]
Apr 13 20:44:04 PrometheusU sshd[7394]: Received disconnect from 59.47.0.150: 11:  [preauth]

Означает ли это, что злоумышленник проник в мою систему и не смог войти в систему с правами root, или что он / она пытается напрямую получить доступ к root, не удалось и вообще ничего не получил?