在使用Debian或基于Debian的Linux系统（如Ubuntu）时，系统安全是每个管理员必须关注的重点。其中，登录失败记录是判断是否存在暴力破解、账户爆破等攻击行为的重要依据。而faillog命令正是Debian系统中用于查看和管理这些失败登录尝试的强大工具。
什么是 faillog？
faillog 是一个用于读取和修改 /var/log/faillog
文件的命令行工具。该文件以二进制格式存储了每个用户最近的登录失败次数、最后一次失败时间以及失败来源IP（如果系统支持）等信息。
前提条件
要使
faillog正常工作，系统必须启用了 PAM（Pluggable Authentication Modules）中的
pam_tally2.so或
pam_faillock.so模块（具体取决于系统版本）。在大多数现代Debian系统中，这一功能默认已启用。
基本用法
最简单的用法是直接运行
faillog命令：
$ sudo faillog
这将列出所有有失败登录记录的用户。如果你只想查看特定用户的失败记录，可以使用
-u参数：
$ sudo faillog -u username
常用参数说明
-a：显示所有用户（包括没有失败记录的用户）。 -u 用户名：仅显示指定用户的失败记录。 -r：重置指定用户的失败计数（需配合-u使用）。 -t 天数：只显示在过去 N 天内有失败记录的用户。
实战示例
示例1：查看过去3天内的所有失败登录
$ sudo faillog -t 3
示例2：重置用户 'alice' 的失败登录计数
$ sudo faillog -u alice -r
执行后，用户
alice的失败次数将被清零，下次登录不再因失败次数过多而被锁定（如果系统配置了账户锁定策略）。
注意事项
并非所有登录方式（如SSH、图形界面、控制台）都会被faillog记录，这取决于PAM配置。 如果
/var/log/faillog文件不存在，可能需要手动创建并设置正确权限：
sudo touch /var/log/faillog
sudo chmod 600 /var/log/faillog
sudo chown root:root /var/log/faillog 在较新的系统中（如Debian 11+），部分发行版可能默认使用
faillock而非
faillog，建议同时了解
pam_faillock的用法。
总结
通过掌握 Debian faillog命令，你可以轻松监控系统的登录安全状况，及时发现异常行为。无论是日常运维还是安全审计，查看用户登录失败记录都是不可或缺的一环。结合其他日志工具（如
lastb、
journalctl），你能构建更全面的Linux登录失败日志分析体系，提升服务器的安全防护能力。
希望本教程能帮助你理解并有效使用这一重要的安全审计工具！
