| 加固项 | 防护组合 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 低 |
| 基线 | 账号与来源两层都有控制 |
现状核查
现状核查
faillock | head
iptables -S | grep -i -E 'fail2ban|f2b' | head
systemctl is-active fail2ban纯密钥登录的机器可只保留 fail2ban：faillock 主要防口令爆破，对密钥无意义。
失败锁定与 fail2ban 的职责划分
faillock 保护“账号”，fail2ban 保护“来源 IP”：两者互补不冲突，常见组合是 faillock 兜账号、fail2ban 兜网络层。
易错点
- 两套锁定的阈值与时长要统一设计：否则一个锁 15 分钟、一个封 1 小时，处置口径混乱
- 误伤排查时同时检查两处：用户报“登录不上”要一次看全
数据来源与参考
- man 8 pam_faillock
- fail2ban 官方文档
- NIST SP 800-63B：认证安全