PSAD — deteksjon av portskanning

Skanningsoppdagelsen som Fail2ban ikke dekker

Fail2ban følger tjenester og reagerer på mislykkede pålogginger. Den som aldri prøver å logge på, forblir usynlig: en adresse som feier over portene dine på jakt etter noe å snakke med, etterlater ingen mislykket autentisering, og dermed slår ingen jail til. PSAD fyller hullet ved å lese iptables-loggoppføringer for forkastet trafikk og gradere det den finner.

Denne siden viser adressene PSAD har flagget, farenivået de er tildelt, hvor mange pakker de sendte og hvilke porter de gikk på. Nivået går fra én til fem og bør leses i sammenheng: én enkelt sondering mot en lukket port er bakgrunnsstøy på enhver offentlig adresse, mens en metodisk gjennomgang av hundrevis av porter fra samme kilde som regel går forut for et forsøk mot det som viser seg åpent.

PSAD trenger en loggeregel i brannmuren for å se noe som helst, og det er nesten alltid derfor den tier etter en fersk installasjon. UFW-siden i panelet viser om den loggingen er på plass.