登录监控（loginmon）

功能与采集范围

登录监控负责系统级登录事件的采集、统计与爆破处置：

平台	采集方式	登录分类
Windows	每 10 秒查询安全事件日志 4624（成功）/ 4625（失败），按登录类型归类	本机（类型 2/11）、远程 RDP / 网络（类型 10/3/8）、服务（5）
Linux	tail 解析 /var/log/auth.log、secure（Failed / Accepted password、publickey）	SSH 远程（remote）、本机（direct）

• 事件行级指纹去重；首次启动自动回填最近 30 天历史（上限 2 万条，回填数据不触发封禁）。
• 面板自身登录（webui）由 Web 登录防护单独统计，在本页与系统日志中可按来源筛选。

统计卡

卡片	数值 / 副行	下钻
直接登录 · 今日成功 / 失败	副行显示失败数与累计	按 os=direct 与结果过滤的登录事件
远程登录 · 今日成功 / 失败	同上（红色醒目）	os=remote
面板登录 · 今日成功 / 失败	同上	src=webui
最近登录事件	六项之和（今日合计）	全量登录事件（可按系统 / 面板来源筛选）
已封禁 IP	封禁记录数	封禁列表，行内可解封
Web 软锁 IP	当前软锁数	软锁列表（IP / 失败次数 / 锁定至）

图表：最近 30 天登录趋势，6 条曲线（直接 / 远程 / 面板 × 成功 / 失败）。

爆破检测与自动封禁

• 统计窗口内同一 IP 失败次数达到阈值（默认 300 秒内 5 次）→ 自动写入防火墙封禁（默认封 1 小时），到期自动解封。
• 封禁与解封均上报 login_attack 告警并写审计日志。
• 白名单 IP（内置 127.0.0.1 / ::1，可在 防火墙页扩展）永不封禁。

Web 登录防护（软锁 / 有限期封禁）

本页「Web 登录爆破防护」面板展示 Qidun 面板自身的三层防护状态：

防线	默认参数	效果
软锁	300 秒内 5 次失败 → 锁 900 秒	锁定期内一律返回 429，不再累计计数（防刷）
有限期封禁	累计失败达 20 次	防火墙封禁 3 天（可配 0=永久，到期自动解封）+ critical 告警
白名单	内置回环地址	永不处置

解封操作

• 面板解封：「已封禁 IP」下钻列表 → 对应行点击解封（需确认），同步移除系统防火墙规则。
• 面板不可用时应急解封：服务器本机执行 qidun ip list 查 ID，qidun ip unblock <ID> 解封（需设置 QIDUN_USER / QIDUN_PASS 环境变量，详见 CLI 命令）。
• 蜜罐（来源显示「蜜罐」）封禁默认有限期 3 天（可配 0=永久，到期自动解封），同样在此手动解封。

参数配置

阈值在「系统设置 → 登录监控参数」调整：

参数	默认	说明
采集轮询间隔	10 秒	改动需重启服务生效
爆破检测窗口	300 秒	即时生效
失败阈值	5 次	即时生效
封禁时长	3600 秒	即时生效
历史回填天数	30 天	改动需重启服务生效