لكشف مسح المنافذ خصوصية تُخرجه من مجموعة الأدوات المعتادة. فـ Fail2ban يقرأ سجلات التطبيقات — وحين يُمسح منفذ مغلق لا يوجد تطبيق، ومن ثم لا يوجد سجل. والمسح لا يُرى إلا على مستوى جدار الحماية، وهناك بالضبط يعمل PSAD: فهو يقرأ الرسائل التي يكتبها iptables عن الحزم المرفوضة.

شرط إلزامي: يجب تفعيل التسجيل

هذا هو السبب الرئيسي لكون PSAD «مثبَّتًا ولا يعرض شيئًا». فبدون قواعد تسجيل في جدار الحماية لا يجد ما يقرؤه، ولا يُنتَج أي خطأ في أثناء ذلك.

إن كنت تستخدم UFW:

sudo ufw logging low
sudo ufw status verbose

وللتأكد من أن الرسائل تظهر فعلًا:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

وصفر من الأمرين معًا يعني أن PSAD لن يعمل. وعلى حدة عن Debian 12 و Ubuntu 24.04: بدون rsyslog لا وجود للملف /var/log/ufw.log ويذهب كل شيء إلى سجل systemd — ويجب أن يراعي مسار السجل في إعدادات PSAD ذلك.

التثبيت

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

والأمر الأخير هو الأساسي. فهو يعرض كم حزمة حُلِّلت، وأي العناوين رُصدت، وعند أي مستوى خطورة. وإن كان عدّاد الحزم المحلَّلة صفرًا فعُد إلى القسم السابق: المشكلة في التسجيل لا في غياب عمليات المسح.

والإعدادات في /etc/psad/psad.conf. والمعاملات ذات الأهمية العملية قليلة: عنوان البريد، ومسار السجل، وعتبات مستويات الخطورة.

مستويات الخطورة

يقيّم PSAD كل مصدر من 1 إلى 5 بحسب عدد المنافذ المختلفة التي جرى لمسها ومدى تشابه السلوك مع تقنيات مسح معروفة.

  • 1–2 — اتصالات مفردة بمنافذ مغلقة. وهذه خلفية الإنترنت الدائمة؛ ولا تستدعي ردًا؛
  • 3 — مرور منهجي على المنافذ. وهي عادة ماسحات بحثية يوجد منها بضع عشرات على الشبكة؛
  • 4–5 — جسّ متعمّد لعدد كبير من المنافذ من عنوان واحد، مع محاولة إخفاء طبيعة الاتصالات غالبًا.

وتُضبط عتبة البريد بـ EMAIL_ALERT_DANGER_LEVEL. والقيمة 3 تعني عادة عدة رسائل يوميًا، وهو ما يقود بسرعة إلى قاعدة في عميل البريد. والأعقل ضبطها على 4 ورؤية البقية في صفحة تجميعية.

الحجب التلقائي: لا تفعل

يستطيع PSAD إضافة قواعد إلى جدار الحماية بنفسه (ENABLE_AUTO_IDS). وعلى خادم عامل واحد لا يستحق تفعيل ذلك، والسبب محدد: عنوان المصدر في الحزمة يمكن تزويره. فيكفي أن يرسل أحدهم نحوك حزمًا بعنوان مُنتحَل — فتحجب أنت العنوان الذي اختاره هو. وقد يتبيّن أنه عميلك أنت، أو بوابة دفع، أو خدمة مراقبة.

وإن كان الحجب مطلوبًا رغم ذلك، ففعّله بعتبة خطورة عالية ودائمًا بحدّ زمني (AUTO_BLOCK_TIMEOUT) كي لا يبقى مُدخل خاطئ إلى الأبد.

ماذا تفعل بهذا عمليًا

المسح بذاته غير ضار: فهو لا يعطّل شيئًا ويحدث للجميع باستمرار. وقيمة بيانات PSAD ليست في الواقعة بل في تغيّر طابعها.

ملاحظات مفيدة:

  • اهتمام موجّه. الماسح العادي يمرّ على آلاف العناوين وعشرات المنافذ الشائعة. فإن كان أحدهم يمرّ منهجيًا على منافذ خادمك أنت تحديدًا، بما فيها غير القياسية، فهذا لم يعد خلفية؛
  • مسح منفذ بعينه. اتصالات بمنفذ قاعدة بيانات أو لوحة تحكم تعني أن أحدهم يبحث عن تلك الخدمة تحديدًا — وعادة بعد خبر عن ثغرة جديدة فيها؛
  • استطلاع قبل المحاولة. قفزة مسح ثم تخمين كلمات مرور بعد ساعات من النطاق نفسه تسلسل نموذجي، ونصفه الأول يشتري بعض الوقت.

والخلاصة العملية من أي من هذه الملاحظات واحدة: تحقّق أن قائمة المنافذ المطلّة خارجًا تطابق التوقعات، وأن ما يعمل على كل منها شيء حدّثته هذا العام.

موضعه في مجموعة الأدوات

لا يحلّ PSAD محل جدار الحماية ولا Fail2ban ولا نظام كشف التسلل. بل يسدّ فجوة ضيقة واحدة — المحاولات التي لا تترك أثرًا في أي مكان آخر لأنها لم تصل إلى تطبيق قط. وتكلفته زهيدة، ويعمل بلا إعداد بعد التشغيل الأول، وملخّصه يجيب عن سؤال لا يطرحه أحد لولاه: هل يهتم أحد بخادمك إلى جانب الخلفية العامة. وشكل هذا الملخّص تعرضه صفحة العرض التوضيحي أدناه.