Ο εντοπισμός σαρώσεων θυρών έχει μια ιδιαιτερότητα που τον βγάζει από τη συνηθισμένη εργαλειοθήκη. Το Fail2ban διαβάζει αρχεία εφαρμογών — και όταν σαρώνεται μια κλειστή θύρα δεν υπάρχει εφαρμογή, άρα δεν υπάρχει ούτε εγγραφή σε αρχείο. Η σάρωση φαίνεται μόνο στο επίπεδο του τείχους προστασίας, και εκεί ακριβώς δουλεύει το PSAD: διαβάζει τα μηνύματα που γράφει το iptables για τα απορριφθέντα πακέτα.

Υποχρεωτική προϋπόθεση: η καταγραφή πρέπει να είναι ενεργή

Αυτός είναι ο κύριος λόγος που το PSAD «είναι εγκατεστημένο και δεν δείχνει τίποτα». Χωρίς κανόνες καταγραφής στο τείχος προστασίας δεν έχει τι να διαβάσει, και δεν παράγεται κανένα σφάλμα στην πορεία.

Αν χρησιμοποιείτε UFW:

sudo ufw logging low
sudo ufw status verbose

Για να επιβεβαιώσετε ότι τα μηνύματα όντως εμφανίζονται:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

Μηδενικά και από τις δύο εντολές σημαίνουν ότι το PSAD δεν θα δουλέψει. Και ξεχωριστά για το Debian 12 και το Ubuntu 24.04: χωρίς rsyslog το αρχείο /var/log/ufw.log δεν υπάρχει και όλα πάνε στο ημερολόγιο του systemd — η διαδρομή του αρχείου στις ρυθμίσεις του PSAD πρέπει να το λάβει υπόψη.

Εγκατάσταση

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

Η τελευταία εντολή είναι η κύρια. Δείχνει πόσα πακέτα αναλύθηκαν, ποιες διευθύνσεις παρατηρήθηκαν και σε ποιο επίπεδο κινδύνου. Αν ο μετρητής αναλυμένων πακέτων είναι μηδέν, γυρίστε στην προηγούμενη ενότητα: το πρόβλημα είναι η καταγραφή, όχι η απουσία σαρώσεων.

Οι ρυθμίσεις βρίσκονται στο /etc/psad/psad.conf. Οι παράμετροι πρακτικής σημασίας είναι λίγες: η διεύθυνση για το ταχυδρομείο, η διαδρομή του αρχείου και τα κατώφλια επιπέδου κινδύνου.

Επίπεδα κινδύνου

Το PSAD βαθμολογεί κάθε πηγή από 1 ως 5 ανάλογα με το πόσες διαφορετικές θύρες αγγίχθηκαν και πόσο μοιάζει η συμπεριφορά με γνωστές τεχνικές σάρωσης.

  • 1–2 — μεμονωμένες επαφές με κλειστές θύρες. Αυτό είναι το μόνιμο υπόβαθρο του διαδικτύου· δεν χρειάζεται αντίδραση·
  • 3 — συστηματικό πέρασμα από θύρες. Συνήθως οι ερευνητικοί σαρωτές, που είναι αρκετές δεκάδες στο δίκτυο·
  • 4–5 — σκόπιμη ψηλάφηση μεγάλου αριθμού θυρών από μία διεύθυνση, συχνά με προσπάθεια απόκρυψης της φύσης των επαφών.

Το κατώφλι για το ταχυδρομείο ορίζεται με το EMAIL_ALERT_DANGER_LEVEL. Η τιμή 3 σημαίνει συνήθως αρκετά μηνύματα τη μέρα, πράγμα που αρκετά γρήγορα οδηγεί σε κανόνα στον πελάτη αλληλογραφίας. Πιο λογικό είναι να βάλετε 4 και να βλέπετε τα υπόλοιπα σε μια συγκεντρωτική σελίδα.

Αυτόματος αποκλεισμός: μην το κάνετε

Το PSAD μπορεί να προσθέτει μόνο του κανόνες στο τείχος προστασίας (ENABLE_AUTO_IDS). Σε έναν μόνο διακομιστή σε λειτουργία δεν αξίζει να το ενεργοποιήσετε, και ο λόγος είναι συγκεκριμένος: η διεύθυνση προέλευσης σε ένα πακέτο μπορεί να είναι πλαστή. Αρκεί κάποιος να στείλει προς την κατεύθυνσή σας πακέτα με υποκατεστημένη διεύθυνση — και θα αποκλείσετε τη διεύθυνση που διάλεξε εκείνος. Μπορεί να αποδειχθεί ο ίδιος σας ο πελάτης, μια πύλη πληρωμών ή μια υπηρεσία παρακολούθησης.

Αν παρ' όλα αυτά χρειάζεται αποκλεισμός, ενεργοποιήστε τον με υψηλό κατώφλι κινδύνου και πάντα με χρονικό όριο (AUTO_BLOCK_TIMEOUT) ώστε μια λανθασμένη εγγραφή να μη μείνει για πάντα.

Τι να το κάνετε στην πράξη

Η σάρωση από μόνη της είναι ακίνδυνη: δεν σπάει τίποτα και συμβαίνει συνεχώς σε όλους. Η αξία των δεδομένων του PSAD δεν βρίσκεται στο γεγονός αλλά στις αλλαγές χαρακτήρα.

Χρήσιμες παρατηρήσεις:

  • Στοχευμένο ενδιαφέρον. Ένας συνηθισμένος σαρωτής περνά από χιλιάδες διευθύνσεις και μια ντουζίνα δημοφιλείς θύρες. Αν κάποιος δουλεύει μεθοδικά τις θύρες ειδικά του δικού σας διακομιστή, μαζί και μη τυπικές, αυτό δεν είναι πια υπόβαθρο·
  • Σάρωση μίας συγκεκριμένης θύρας. Επαφές με τη θύρα μιας βάσης δεδομένων ή ενός πίνακα ελέγχου σημαίνουν ότι κάποιος ψάχνει ειδικά αυτή την υπηρεσία — συνήθως μετά από είδηση για μια ακόμη ευπάθειά της·
  • Αναγνώριση πριν από απόπειρα. Μια αιχμή σάρωσης και ώρες αργότερα μαντεψιά κωδικών από το ίδιο εύρος είναι τυπική ακολουθία, και το πρώτο της μισό αγοράζει λίγο χρόνο.

Το πρακτικό συμπέρασμα από οποιαδήποτε από αυτές τις παρατηρήσεις είναι το ίδιο: ελέγξτε ότι η λίστα των θυρών που βλέπουν προς τα έξω ταιριάζει με τις προσδοκίες και ότι ό,τι τρέχει σε καθεμία από αυτές είναι κάτι που ενημερώσατε φέτος.

Η θέση του στην εργαλειοθήκη

Το PSAD δεν αντικαθιστά ούτε το τείχος προστασίας, ούτε το Fail2ban, ούτε ένα σύστημα ανίχνευσης εισβολών. Κλείνει ένα στενό κενό — απόπειρες που δεν αφήνουν ίχνη πουθενά αλλού επειδή δεν έφτασαν ποτέ σε εφαρμογή. Κοστίζει λίγα, δουλεύει χωρίς ρύθμιση μετά την πρώτη εκτέλεση και η σύνοψή του απαντά σε ένα ερώτημα που αλλιώς δεν θέτει κανείς: ενδιαφέρεται κανείς για τον διακομιστή σας πέρα από το γενικό υπόβαθρο; Πώς μοιάζει αυτή η σύνοψη το δείχνει η σελίδα επίδειξης παρακάτω.