PSAD — registrering af portscanning

Den scanningsopdagelse, som Fail2ban ikke dækker

Fail2ban følger tjenester og reagerer på mislykkede logins. Den, der aldrig forsøger at logge ind, forbliver usynlig: en adresse, der fejer hen over dine porte på jagt efter noget at tale med, efterlader ingen mislykket godkendelse, og derfor udløses ingen jail. PSAD lukker hullet ved at læse iptables-logposter for kasseret trafik og bedømme det, den finder.

Denne side viser de adresser, PSAD har markeret, det fareniveau de har fået tildelt, hvor mange pakker de sendte, og hvilke porte de gik efter. Niveauet går fra et til fem og bør læses i sammenhæng: en enkelt sondering mod en lukket port er baggrundsstøj på enhver offentlig adresse, mens en metodisk gennemgang af hundredvis af porte fra samme kilde som regel går forud for et forsøg mod det, der viser sig åbent.

PSAD har brug for en logregel i firewallen for overhovedet at se noget, og det er næsten altid derfor, den tier efter en frisk installation. UFW-siden i panelet viser, om den logning er på plads.