Porttiskannauksen havaitsemisessa on erikoisuus, jonka takia se putoaa tavallisesta työkalupakista. Fail2ban lukee sovelluslokeja — mutta suljetun portin skannauksessa ei ole mitään sovellusta, siis ei myöskään lokimerkintää. Skannaus näkyy vain palomuurin tasolla, ja juuri siellä PSAD toimii: se lukee viestejä, joita iptables kirjoittaa hylätyistä paketeista.

Välttämätön ehto: lokituksen on oltava päällä

Tämä on pääsyy siihen, että PSAD ”seisoo eikä näytä mitään”. Ilman lokitussääntöjä palomuurissa ei ole mitään luettavaa, eikä mitään virhettä synny.

Jos käytössä on UFW:

sudo ufw logging low
sudo ufw status verbose

Tarkista, että viestejä todella ilmestyy:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

Nollat molemmissa komennoissa tarkoittavat, ettei PSAD tule toimimaan. Ja erikseen Debian 12:sta ja Ubuntu 24.04:stä: ilman rsyslog-pakettia tiedostoa /var/log/ufw.log ei ole, kaikki menee systemd-journaliin — polku lokiin PSAD:n asetuksissa on määritettävä sen mukaisesti.

Asennus

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

Viimeinen komento on keskeisin. Se näyttää, kuinka monta pakettia on analysoitu, mitkä osoitteet on huomattu ja millä vaarallisuustasolla. Jos analysoitujen pakettien laskuri on nolla, palaa edelliseen osioon: kyse on lokituksesta eikä skannausten puuttumisesta.

Asetukset ovat tiedostossa /etc/psad/psad.conf. Käytännössä merkityksellisiä parametreja on vähän: kirjeiden osoite, polku lokiin ja vaarallisuustasojen kynnykset.

Vaarallisuustasot

PSAD arvioi jokaisen lähteen asteikolla 1–5 sen mukaan, kuinka moneen eri porttiin on koskettu ja kuinka paljon käyttäytyminen muistuttaa tunnettuja skannaustekniikoita.

  • 1–2 — yksittäiset yhteydenotot suljettuihin portteihin. Se on internetin jatkuvaa taustaa, reagointia ei tarvita;
  • 3 — järjestelmällinen porttien läpikäynti. Yleensä tutkimusskannereita, joita on verkossa muutamia kymmeniä;
  • 4–5 — kohdennettu suuren porttimäärän läpikäynti yhdestä osoitteesta, usein yrityksin peittää yhteydenottojen luonne.

Kirjeiden kynnys asetetaan parametrilla EMAIL_ALERT_DANGER_LEVEL. Arvo 3 tarkoittaa yleensä muutamaa kirjettä päivässä, mikä johtaa melko nopeasti sääntöön sähköpostiohjelmassa. Järkevämpää on asettaa 4 ja katsoa loput yhteenvetosivulta.

Automaattinen esto: ei kannata

PSAD osaa itse lisätä palomuurisääntöjä (ENABLE_AUTO_IDS). Yhdellä tuotantopalvelimella sitä ei kannata kytkeä päälle, ja syy on konkreettinen: paketin lähettäjäosoite on väärennettävissä. Riittää lähettää sinun suuntaasi paketteja keksityllä osoitteella — ja estät osoitteen, jonka joku muu valitsi. Se voi olla oman asiakkaasi, maksuyhdyskäytävän tai valvontapalvelun osoite.

Jos esto silti tarvitaan, kytke se päälle korkealla vaarallisuuskynnyksellä ja aina aikarajalla (AUTO_BLOCK_TIMEOUT), jottei virheellinen merkintä jäisi ikuisiksi ajoiksi.

Mitä tällä tehdään käytännössä

Skannaus itsessään on vaaraton: se ei riko mitään ja jatkuu keskeytyksettä kaikilla. PSAD:n datan arvo ei ole itse tosiasiassa vaan luonteen muutoksissa.

Hyödyllisiä havaintoja:

  • Kohdennettu kiinnostus. Tavallinen skanneri käy läpi tuhansia osoitteita ja kymmenkunta suosittua porttia. Mutta jos joku käy järjestelmällisesti läpi juuri sinun palvelimesi portteja, myös epästandardeja — se ei ole enää taustaa;
  • Tietyn portin skannaus. Yhteydenotot tietokannan tai hallintapaneelin porttiin tarkoittavat, että joku etsii juuri sitä palvelua — yleensä sen jälkeen kun siitä on julkaistu tietoja jälleen yhdestä haavoittuvuudesta;
  • Tiedustelu ennen yritystä. Skannauspiikki, ja muutaman tunnin kuluttua salasanojen arvailua samalta alueelta — tyypillinen järjestys, ja sen ensimmäinen osa antaa hieman aikaa.

Käytännön johtopäätös kustakin näistä havainnoista on sama: tarkista, että ulospäin avoimien porttien lista vastaa odotettua ja että jokaisessa niistä toimii jokin, jonka olet päivittänyt tänä vuonna.

Paikka kokonaisuudessa

PSAD ei korvaa palomuuria, Fail2bania eikä tunkeutumisen havaitsemisjärjestelmää. Se tukkii yhden kapean raon — yritykset, jotka eivät jätä jälkiä mihinkään muualle, koska ne eivät päässeet yhteenkään sovellukseen. Se maksaa vähän, toimii ensimmäisen ajon jälkeen ilman asetuksia, ja sen yhteenveto vastaa kysymykseen, jota ei muuten esitetä: kiinnostaako palvelimesi jotakuta erikseen yleisestä taustasta. Miltä tuo yhteenveto näyttää, näkyy alla olevalla esittelysivulla.