PSAD — Portscan-Erkennung

Portscan-Erkennung, die Fail2ban nicht abdeckt

Fail2ban beobachtet Dienste und reagiert auf fehlgeschlagene Logins. Wer sich nie anmeldet, bleibt unsichtbar — eine Adresse, die Ihre Ports abklopft, hinterlässt keine gescheiterte Authentifizierung, also löst auch kein Jail aus. PSAD schließt diese Lücke: Es liest iptables-Log-Einträge zu verworfenem Verkehr und bewertet, was es findet.

Diese Seite zeigt die von PSAD markierten Adressen, die zugewiesene Gefahrenstufe, die Zahl der Pakete und die anvisierten Ports. Die Gefahrenstufe reicht von eins bis fünf und will im Kontext gelesen werden: Ein einzelner Kontakt zu einem geschlossenen Port ist auf jeder öffentlichen Adresse Grundrauschen, während ein methodischer Durchlauf über Hunderte Ports aus einer Quelle meist dem Versuch vorausgeht, das Gefundene auszunutzen.

PSAD braucht eine Logging-Regel in Ihrer Firewall, um überhaupt etwas zu sehen — das ist der übliche Grund, warum es nach einer frischen Installation schweigt. Die UFW-Seite in diesem Panel zeigt, ob dieses Logging eingerichtet ist.