Linux 取证135 条

fail2ban 封禁记录与时间线

fail2ban 日志记录封禁与解封动作，可与 sshd 失败日志一起构成爆破时间线，并说明哪些来源曾被自动阻断。

日志	/var/log/fail2ban.log
命令	fail2ban-client status sshd

查看

fail2ban-client status sshd 2>/dev/null | head -20
grep -E 'Ban|Unban' /var/log/fail2ban.log | tail -20

封禁时长有限（jail 的 bantime），不能据此认定攻击已停止。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌