Buenas,
Debes saber que fail2ban funciona en base a los logs, de ahi sacamos los registros y los bloqueos
Por ejemplo un wordpress
Le agregamos el JAIL
[apache-wp-login]
enabled = true
port= http,https
filter= apache-wp-login
action= iptables-multiport[name=ATAQUE-WP, port="http,https"]
sendmail-buffered[name=ATAQUE-WP, lines=5, dest=TU EMAIL]
logpath = /var/log/apache/access_error.log
maxretry = 5
findtime = 120
Con esto ya lo estas fichando
Y Luego su respectivo filtro
[Definition]
# Option: failregex
# Notes.: Regexp to catch Apache dictionary attacks on Wordpress wp-login
# Values: TEXT
#
failregex = .*] "(GET|POST) /wp-login.php
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =
-------------------
--- Que implica esto que tienes que pasar el log de apache a un log general y no a los dominios como ahora de forma puedas leer el sistema, lee documentacion de como implantarlo o incluso usar modulos de apache com mod_evasive