登录失败记录与锁定状态核查

btmp/wtmp 与 pam_faillock 给出账号维度的登录失败与锁定情况；交叉 auth 日志可判断记录是否被清空。

失败记录	/var/log/btmp（用 lastb 读，二进制）
成功记录	/var/log/wtmp（用 last 读）
锁定策略	pam_faillock：deny 次数与 unlock_time
状态与解锁	faillock --user <账号> / faillock --reset --user <账号>

查看失败与锁定

lastb -n 20 | head
faillock --user root | head -n 20
last -n 20 | head

btmp 被清空或截断只需写权限；发现 btmp 短得异常时，以 auth 日志与 faillock 目录（/var/run/faillock）交叉验证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌