Est-il sûr d'appliquer fail2ban aux journaux sshd "Received disconnect/Disconnected ... [preauth]" ?

Je vois beaucoup de journaux comme celui-ci dans /var/log/auth.log (Debian Buster):

Jan  2 17:10:17 mybox sshd[16304]: Received disconnect from 1.2.3.4 port 37792:11: Bye Bye [preauth]
Jan  2 17:10:17 mybox sshd[16304]: Disconnected from authenticating user root 1.2.3.4 port 37792 [preauth]
Jan  2 17:10:20 mybox sshd[16306]: Received disconnect from 5.6.7.8 port 63061:11: Bye Bye [preauth]
Jan  2 17:10:20 mybox sshd[16306]: Disconnected from authenticating user root 5.6.7.8 port 63061 [preauth]
Jan  2 17:12:38 mybox sshd[16380]: Received disconnect from 9.10.11.12 port 55224:11: Normal Shutdown, Thank you for playing [preauth]
Jan  2 17:12:38 mybox sshd[16380]: Disconnected from authenticating user root 9.10.11.12 port 55224 [preauth]

Je sais que ce sont des tentatives d'intrusion, car personne ne devrait essayer de se connecter à cette machine (à part moi).

Il n'y a pas de règle correspondante dans /etc/fail2ban/filter.d/sshd.conf, donc ces tentatives n'entraînent pas un bannissement de l'adresse IP malveillante par fail2ban.

J'ai désactivé la connexion par mot de passe, donc je suppose que ce qui se passe ici, c'est que ces tentatives sont rejetées avant même de tenter de s'authentifier, et pour cette raison fail2ban ne les détecte pas.

Cependant, comme je sais qu'il s'agit de tentatives d'intrusion, je voudrais quand même interdire l'IP, pour les empêcher de tenter d'autres choses et de remplir mes journaux.

Est-il sûr pour moi d'ajouter une expression régulière correspondant à certaines de ces lignes, ou risquerais-je de correspondre à des tentatives de connexion légitimes (basées sur une clé) ? Quelles parties constitueraient une combinaison sûre ? Correspondre aux mots "Disconnected" et à la balise "[preauth]" indiquerait-elle nécessairement une tentative de force brute malveillante basée sur un mot de passe échouée ?