Fail2ban и proftpd (помогите написать фильтр)

[Hooper]

Имеется Debian Lenny с установленными Proftpd и fail2ban. Fail2ban по умолчанию включает в себя несколько фильтров, есть фильтр и для логов proftpd, но к сожалению он несколько различается с тем что имеем на самом деле в логах:
/etc/fail2ban/filter.d/proftpd.conf

Код: Выделить всё

failregex = \(\S+\[<HOST>\]\)[: -]+ USER \S+: no such user found from \S+ \[\S+\] to \S+:\S+$
            \(\S+\[<HOST>\]\)[: -]+ USER \S+ \(Login failed\): Incorrect password\.$
            \(\S+\[<HOST>\]\)[: -]+ SECURITY VIOLATION: \S+ login attempted\.$
            \(\S+\[<HOST>\]\)[: -]+ Maximum login attempts \(\d+\) exceeded$

логи же имеют следующий вид:

Код: Выделить всё

192.168.0.198 UNKNOWN nobody [21/Янв/2010:01:00:06 +0300] "USER qwe" 331 -
192.168.0.198 UNKNOWN nobody [21/Янв/2010:01:00:06 +0300] "PASS (hidden)" 530 -

Помогите, пожалуйста, написать регулярное выражение
Гугл выдал ^<HOST> .* nobody .*PASS .* 530 и (.*) (.*) <HOST> (.*) (.*) 530 не помогло

Upd после смены локали на английскую заработало с ^<HOST> .* nobody .*PASS .* 530 видимо не дружит с русскими названиями месяцов в логах