PSAD — 포트 스캔 탐지

Fail2ban이 덮지 못하는 스캔 탐지

Fail2ban은 서비스를 지켜보며 실패한 로그인에 반응합니다. 아예 로그인을 시도하지 않는 쪽은 보지 못합니다. 말을 붙일 만한 것을 찾아 포트를 쓸고 가는 주소는 실패한 인증을 하나도 남기지 않으니, 어떤 jail도 발동하지 않습니다. PSAD가 그 틈을 메웁니다. 버려진 통신에 관한 iptables의 로그 항목을 읽고, 찾아낸 것에 등급을 매기는 것입니다.

이 페이지는 PSAD가 표시한 주소, 거기에 매긴 위험 등급, 보낸 패킷 수, 그리고 향한 포트를 보여 줍니다. 등급은 1에서 5까지이며 맥락 속에서 읽어야 합니다. 닫힌 포트를 한 번 두드리는 것은 어떤 공개 주소에서도 배경 잡음일 뿐이지만, 같은 출처에서 수백 개의 포트를 차례대로 훑는 움직임은 대개 열려 있다고 드러난 무언가를 노리기 직전의 일입니다.

무엇이든 보려면 PSAD에는 방화벽의 로그 기록 규칙이 있어야 하며, 갓 설치한 뒤에 잠잠한 까닭은 거의 언제나 이것입니다. 이 패널의 UFW 페이지를 보면 그 기록이 제자리에 있는지 알 수 있습니다.