PSAD — détection de scan de ports

La détection de scans que Fail2ban ne couvre pas

Fail2ban surveille les services et réagit aux échecs d’authentification. Il ne voit pas celui qui n’essaie jamais de se connecter : une adresse qui balaie vos ports à la recherche d’un service ne laisse aucun échec d’authentification derrière elle, donc aucun jail ne se déclenche. PSAD comble ce vide en lisant les entrées de journal iptables correspondant au trafic rejeté, puis en notant ce qu’il trouve.

Cette page montre les adresses signalées par PSAD, le niveau de danger attribué, le nombre de paquets envoyés et les ports visés. Le niveau va de un à cinq et se lit en contexte : une sonde isolée sur un port fermé est un bruit de fond sur n’importe quelle adresse publique, tandis qu’un balayage méthodique de centaines de ports depuis une même source précède généralement une tentative d’exploitation.

PSAD a besoin d’une règle de journalisation dans votre pare-feu pour voir quoi que ce soit, ce qui explique presque toujours son silence après une installation neuve. La page UFW de ce panneau indique si cette journalisation est en place.