PSAD — rilevamento scansione porte

Il rilevamento delle scansioni che Fail2ban non copre

Fail2ban osserva i servizi e reagisce agli accessi falliti. Non può vedere chi non prova mai ad autenticarsi: un indirizzo che spazza le vostre porte in cerca di qualcosa con cui parlare non lascia alcuna autenticazione fallita, quindi nessun jail scatta. PSAD colma questa lacuna leggendo le voci di log di iptables relative al traffico scartato e valutando ciò che trova.

Questa pagina mostra gli indirizzi che PSAD ha segnalato, il livello di pericolo assegnato, quanti pacchetti hanno inviato e quali porte hanno cercato. Il livello va da uno a cinque e va letto nel contesto: una sonda isolata contro una porta chiusa è rumore di fondo su qualsiasi indirizzo pubblico, mentre uno spazzolamento metodico di centinaia di porte dalla stessa sorgente di solito precede un tentativo contro ciò che trova aperto.

Per vedere qualcosa PSAD ha bisogno di una regola di logging nel firewall, ed è quasi sempre questo il motivo del suo silenzio dopo un’installazione nuova. La pagina UFW di questo pannello mostra se quel logging è al suo posto.