PSAD — wykrywanie skanowania portów

Wykrywanie skanowania, którego Fail2ban nie obejmuje

Fail2ban obserwuje usługi i reaguje na nieudane logowania. Nie widzi kogoś, kto nigdy nie próbuje się zalogować: adres omiatający twoje porty w poszukiwaniu czegoś, z czym da się pogadać, nie zostawia po sobie żadnego nieudanego uwierzytelnienia, więc żaden jail nie zadziała. PSAD wypełnia tę lukę, czytając wpisy dziennika iptables dotyczące odrzuconego ruchu i oceniając to, co znajdzie.

Ta strona pokazuje adresy oznaczone przez PSAD, przypisany im poziom zagrożenia, ile pakietów wysłały i na które porty szły. Poziom biegnie od jednego do pięciu i należy go czytać w kontekście: pojedyncza sonda w zamknięty port to szum tła na każdym publicznym adresie, natomiast metodyczne przeczesanie setek portów z jednego źródła zwykle poprzedza próbę uderzenia w to, co okaże się otwarte.

Żeby cokolwiek zobaczyć, PSAD potrzebuje reguły logowania w zaporze i prawie zawsze to jest powód jego milczenia po świeżej instalacji. Strona UFW w tym panelu pokazuje, czy takie logowanie jest na miejscu.