PSAD — ポートスキャン検知

Fail2ban が覆わないスキャン検知

Fail2ban はサービスを見張り、失敗したログインに反応します。そもそもログインを試みない相手は見えません。話し相手になりそうなものを探してあなたのポートを掃いていくアドレスは、失敗した認証をひとつも残さないので、どの jail も発動しないのです。PSAD はこの隙間を埋めます。破棄された通信についての iptables のログ項目を読み、見つけたものに等級をつけるのです。

このページは PSAD が印をつけたアドレス、割り当てられた危険度、送ってきたパケット数、そして向かったポートを示します。危険度は一から五まであり、文脈の中で読むべきものです。閉じたポートへの一度きりのノックは、どんな公開アドレスでも背景雑音にすぎません。一方、同じ発信元から数百のポートを順序立てて掃いていく動きは、たいてい開いていると分かったものへの試みに先立ちます。

そもそも何かを見るために、PSAD はあなたのファイアウォールにログ記録の規則を必要とします。新しく入れた直後に黙り込む理由は、ほぼ常にこれです。この画面の UFW のページを見れば、その記録が備わっているかどうかが分かります。