¿Por qué no bloquea ossec las conexiones SSH cuando parece estar configurado correctamente?

¿Por qué ossec no bloquea las conexiones de otro servidor?

Instalé la versión 2.9.3 de ossec en Ubuntu 16.04. En el archivo ossec.conf tengo estas líneas donde x.x.x.x es la dirección IP de un segundo servidor Linux:

<command>
    <name>firewall-drop</name>
    <executable>firewall-drop.sh</executable>
    <expect>x.x.x.x</expect>
    <timeout_allowed>yes</timeout_allowed>
</command>

<active-response>
    <command>firewall-drop</command>
    <location>all</location>
    <rules_id>5712</rules_id> 
    <timeout>1800</timeout> 
</active-response>

Reinicié ossec. Ejecutar un ps -ef | grep ossec mostró que se estaba ejecutando. Tengo una regla de cortafuegos que permite que el servidor Linux en x.x.x.x sea SSH al servidor Ubuntu con ossec. Todavía puedo SSH desde el segundo servidor al servidor ossec.

Cambié el tiempo de espera a 20. Me aseguré de que me tomara 25 segundos escribir la contraseña. Todavía puedo SSH desde el segundo servidor al servidor ossec. Esperaba que lo anterior bloqueara las conexiones SSH. Intenté apagar el firewall, pero eso no tuvo ningún efecto. ¿Qué estoy haciendo mal?