PSAD — phát hiện quét cổng

Việc phát hiện quét mà Fail2ban không phủ tới

Fail2ban theo dõi các dịch vụ và phản ứng với những lần đăng nhập thất bại. Nó không thấy được kẻ chưa từng thử đăng nhập: một địa chỉ quét qua các cổng của bạn để tìm thứ gì đó bắt chuyện được sẽ không để lại lần xác thực thất bại nào, nên chẳng jail nào kích hoạt. PSAD lấp khoảng trống ấy bằng cách đọc các mục nhật ký iptables về lưu lượng bị loại bỏ rồi chấm điểm những gì nó tìm thấy.

Trang này hiện các địa chỉ PSAD đã đánh dấu, mức nguy hiểm được gán cho chúng, chúng đã gửi bao nhiêu gói tin và nhắm tới những cổng nào. Mức chạy từ một đến năm và nên đọc trong bối cảnh: một cú gõ đơn lẻ vào cổng đóng chỉ là tiếng ồn nền trên bất kỳ địa chỉ công cộng nào, trong khi việc quét có phương pháp hàng trăm cổng từ cùng một nguồn thường đi trước một nỗ lực nhắm vào thứ hóa ra đang mở.

Để thấy được bất cứ điều gì, PSAD cần một quy tắc ghi nhật ký trong tường lửa của bạn, và đó gần như luôn là lý do nó im lặng sau một lần cài mới. Trang UFW trong bảng này cho biết việc ghi nhật ký ấy đã có hay chưa.