Die Erkennung von Portscans hat eine Eigenheit, die sie aus dem üblichen Werkzeugkasten herausfallen lässt. Fail2ban liest Anwendungsprotokolle — und beim Scannen eines geschlossenen Ports gibt es keine Anwendung, also auch keinen Protokolleintrag. Scans sind nur auf Firewall-Ebene sichtbar, und genau dort arbeitet PSAD: Es liest die Meldungen, die iptables über verworfene Pakete schreibt.

Eine zwingende Voraussetzung: Die Protokollierung muss laufen

Das ist der Hauptgrund, warum PSAD „installiert ist und nichts zeigt“. Ohne Protokollierungsregeln in der Firewall hat es nichts zu lesen, und ein Fehler entsteht dabei nicht.

Wenn Sie UFW verwenden:

sudo ufw logging low
sudo ufw status verbose

Zur Bestätigung, dass tatsächlich Meldungen erscheinen:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

Nullen bei beiden Befehlen bedeuten, dass PSAD nicht arbeiten wird. Und gesondert zu Debian 12 und Ubuntu 24.04: Ohne rsyslog existiert die Datei /var/log/ufw.log nicht, und alles geht in das systemd-Journal — der Protokollpfad in den PSAD-Einstellungen muss das berücksichtigen.

Installation

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

Der letzte Befehl ist der wichtigste. Er zeigt, wie viele Pakete zerlegt wurden, welche Adressen aufgefallen sind und mit welcher Gefahrenstufe. Steht der Zähler zerlegter Pakete auf null, kehren Sie zum vorigen Abschnitt zurück: Es liegt an der Protokollierung, nicht am Ausbleiben von Scans.

Die Einstellungen stehen in /etc/psad/psad.conf. Praktisch bedeutsam sind wenige Parameter: die Adresse für Mail, der Protokollpfad und die Schwellen der Gefahrenstufen.

Gefahrenstufen

PSAD bewertet jede Quelle von 1 bis 5, je nachdem, wie viele verschiedene Ports berührt wurden und wie sehr das Verhalten bekannten Scantechniken ähnelt.

  • 1–2 — vereinzelte Kontakte mit geschlossenen Ports. Das ist der dauerhafte Hintergrund des Internets; keine Reaktion nötig;
  • 3 — systematisches Abklappern von Ports. Meist die Forschungsscanner, von denen es im Netz einige Dutzend gibt;
  • 4–5 — gezieltes Abtasten vieler Ports von einer Adresse, oft mit dem Versuch, die Art der Kontakte zu verschleiern.

Die Schwelle für Mail setzt EMAIL_ALERT_DANGER_LEVEL. Ein Wert von 3 bedeutet üblicherweise mehrere Mails am Tag, was recht schnell zu einer Regel im Mailprogramm führt. Sinnvoller ist 4, und den Rest sehen Sie auf einer Übersichtsseite.

Automatisches Sperren: besser nicht

PSAD kann selbst Firewall-Regeln hinzufügen (ENABLE_AUTO_IDS). Auf einem einzelnen Arbeitsserver sollte man das nicht aktivieren, und der Grund ist konkret: Die Absenderadresse in einem Paket lässt sich fälschen. Es genügt, Pakete mit untergeschobener Adresse in Ihre Richtung zu senden — und Sie sperren die Adresse, die jemand anderes ausgesucht hat. Das kann Ihr eigener Kunde sein, ein Zahlungsdienstleister oder ein Überwachungsdienst.

Ist das Sperren dennoch nötig, aktivieren Sie es mit hoher Gefahrenschwelle und stets mit zeitlicher Begrenzung (AUTO_BLOCK_TIMEOUT), damit ein fehlerhafter Eintrag nicht für immer bleibt.

Was man damit praktisch anfängt

Ein Scan an sich ist harmlos: Er zerstört nichts und passiert allen ununterbrochen. Der Wert der PSAD-Daten liegt nicht in der Tatsache, sondern in Veränderungen des Charakters.

Nützliche Beobachtungen:

  • Gerichtetes Interesse. Ein gewöhnlicher Scanner läuft durch tausende Adressen und ein Dutzend beliebter Ports. Arbeitet jemand methodisch die Ports gerade Ihres Servers ab, nicht standardmäßige eingeschlossen, ist das kein Hintergrund mehr;
  • Scans eines bestimmten Ports. Kontakte mit dem Port einer Datenbank oder eines Verwaltungspanels bedeuten, dass jemand genau diesen Dienst sucht — meist nach Nachrichten über eine weitere Schwachstelle darin;
  • Aufklärung vor dem Versuch. Eine Scan-Spitze und Stunden später Passwortraten aus demselben Bereich ist eine typische Abfolge, und ihre erste Hälfte verschafft etwas Zeit.

Der praktische Schluss aus jeder dieser Beobachtungen ist derselbe: prüfen, ob die Liste der nach außen zeigenden Ports den Erwartungen entspricht und ob das, was auf jedem davon läuft, in diesem Jahr aktualisiert wurde.

Der Platz im Werkzeugkasten

PSAD ersetzt weder die Firewall noch Fail2ban noch ein Angriffserkennungssystem. Es schließt eine schmale Lücke — Versuche, die nirgendwo sonst Spuren hinterlassen, weil sie nie eine Anwendung erreicht haben. Es kostet wenig, arbeitet nach dem ersten Lauf ohne Konfiguration, und seine Übersicht beantwortet eine Frage, die sonst niemand stellt: Interessiert sich jemand für Ihren Server über den allgemeinen Hintergrund hinaus? Wie diese Übersicht aussieht, zeigt die Demo-Seite unten.