PSAD — засичане на сканиране на портове

Засичането на сканирания, което Fail2ban не покрива

Fail2ban следи услугите и реагира на неуспешни влизания. Този, който никога не се опитва да влезе, остава невидим: адрес, който помита портовете ви в търсене на нещо, с което да заговори, не оставя след себе си неуспешна автентикация, така че никой jail не се задейства. PSAD запълва тази празнина, като чете записите в журнала на iptables за отхвърлен трафик и оценява каквото намери.

Тази страница показва адресите, които PSAD е отбелязал, присъденото им ниво на опасност, колко пакета са изпратили и към кои портове са тръгнали. Нивото върви от едно до пет и трябва да се чете в контекст: единично почукване по затворен порт е фонов шум на всеки публичен адрес, докато методично преминаване през стотици портове от един и същ източник обикновено предшества опит срещу онова, което се окаже отворено.

За да види изобщо нещо, PSAD се нуждае от правило за журналиране в защитната стена и почти винаги това е причината за мълчанието му след свежа инсталация. Страницата на UFW в този панел показва дали такова журналиране е налице.