Бан адресов из лога неудачных попыток авторизации?
1. Изолированная сеть управления.
2. При попытке обратиться в одному из небезопасных портов( 20,21,22,23,25,110,465,993,3389,5160,8291 добавить по вкусу ) из любых иных сетей помещаем его в address list на определенное время( например сутки )
3. Все соединения из данного address list блокируем.
По таким исходным данным могу предложить два пути:
- скрипт анализирует лог, ищет неудачные попытки входа и вносит в черный список
- почитайте про port knocking