CVE-2014-5284

Parece ser que OSSEC se carga el hosts.deny después del tiempo de "baneo" de una IP.

Mira el CVE-2014-5284, puede que solucione el problema.