SSHGuard отслеживает сервисы, регистрируя их активность. Он реагирует на сообщения об опасной активности, блокируя исходный адрес локальным брандмауэром. SSHGuard использует умный синтаксический анализатор, который может прозрачно распознавать сразу несколько форматов логов (syslog, syslog-ng, metalog, multilog, raw messages) и обнаруживает атаки для многих сервисов из коробки, включая SSH, несколько ftpds и dovecot. Он может работать со всеми основными системами брандмауэров и поддерживает IPv6, белый список, приостановку и аутентификацию сообщений журнала.