PSAD — 端口扫描检测

Fail2ban 覆盖不到的扫描检测

Fail2ban 盯的是服务，对登录失败作出反应。它看不见那个压根不尝试登录的人：一个把你的端口扫一遍、只为找点能搭上话的东西的地址，身后不会留下任何一次失败认证，于是没有任何 jail 会触发。PSAD 补上了这个缺口——它读取 iptables 中关于被丢弃流量的日志条目，并为发现的东西评级。

这一页展示 PSAD 标记出的地址、给它们判定的危险等级、它们发了多少数据包，以及冲着哪些端口去。等级从一到五，需要结合语境来读：对着一个关闭端口的单次敲门，在任何公网地址上都只是背景噪音；而从同一来源对数百个端口的系统性扫荡，通常是针对那些被发现开着的东西动手之前的一步。

PSAD 要想看见任何东西，你的防火墙里就得有一条记录日志的规则，而这几乎总是它在全新安装后沉默不语的原因。本面板的 UFW 页面能显示这项日志记录是否已经就位。