solution

Phát hiện brute-force trong cửa sổ thời gian

Cảnh báo brute-force nên xét mật độ theo thời gian: một IP có ≥ K lần thất bại trong cửa sổ W giây bị coi là tấn công. Với mỗi IP, tìm thời điểm sớm nhất mà cửa sổ [ts-W, ts] chứa đủ K lần FAIL (đó là mốc kích hoạt).

In các IP kích hoạt cùng mốc thời gian, sắp theo mốc thời gian tăng dần (đồng thời thì theo IP).

Ví dụ: K=3, W=60; IP thất bại tại 10, 20, 30 → tại giây 30 có đủ 3 FAIL trong 60s → IP 30.