לזיהוי סריקות פורטים יש מוזרות שמוציאה אותו מארגז הכלים הרגיל. Fail2ban קורא יומני אפליקציות — וכשסורקים פורט סגור אין אפליקציה, ולכן אין גם רשומה ביומן. הסריקה נראית רק ברמת חומת האש, ובדיוק שם עובד PSAD: הוא קורא את ההודעות ש-iptables כותב על חבילות שנזרקו.

תנאי הכרחי: הרישום חייב להיות מופעל

זו הסיבה המרכזית לכך ש-PSAD «מותקן ואינו מציג דבר». בלי כללי רישום בחומת האש אין לו מה לקרוא, ושום שגיאה אינה נוצרת בדרך.

אם אתם משתמשים ב-UFW:

sudo ufw logging low
sudo ufw status verbose

כדי לוודא שההודעות אכן מופיעות:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

אפסים משתי הפקודות פירושם ש-PSAD לא יעבוד. ובנפרד על Debian 12 ו-Ubuntu 24.04: בלי rsyslog הקובץ /var/log/ufw.log אינו קיים והכול הולך ליומן של systemd — ונתיב היומן בהגדרות PSAD צריך לקחת זאת בחשבון.

התקנה

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

הפקודה האחרונה היא המרכזית. היא מציגה כמה חבילות פורקו, אילו כתובות נצפו ובאיזו רמת סכנה. ואם מונה החבילות שפורקו הוא אפס, חזרו למקטע הקודם: הבעיה היא ברישום ולא בהיעדר סריקות.

ההגדרות נמצאות ב-/etc/psad/psad.conf. ופרמטרים בעלי משמעות מעשית יש מעט: הכתובת לדואר, נתיב היומן וספי רמות הסכנה.

רמות סכנה

PSAD מדרג כל מקור מ-1 עד 5 בהתאם לכמה פורטים שונים נגעו ועד כמה ההתנהגות דומה לטכניקות סריקה מוכרות.

  • 1–2 — מגעים בודדים עם פורטים סגורים. זהו רעש הרקע הקבוע של האינטרנט; אין צורך להגיב;
  • 3 — מעבר שיטתי על פורטים. בדרך כלל סורקי מחקר, שיש כמה עשרות מהם ברשת;
  • 4–5 — בדיקה מכוונת של מספר גדול של פורטים מכתובת אחת, לעיתים קרובות תוך ניסיון להסתיר את אופי המגעים.

את הסף לדואר קובעים ב-EMAIL_ALERT_DANGER_LEVEL. ערך 3 פירושו בדרך כלל כמה מכתבים ביום, וזה מוביל די מהר לכלל בתוכנת הדואר. הגיוני יותר לשים 4 ולראות את השאר בעמוד מרוכז.

חסימה אוטומטית: אל תעשו

PSAD יכול להוסיף בעצמו כללים לחומת האש (ENABLE_AUTO_IDS). ובשרת פעיל יחיד לא שווה להפעיל את זה, והסיבה קונקרטית: את כתובת השולח בחבילה אפשר לזייף. די שמישהו ישלח לכיוונכם חבילות עם כתובת מזויפת — ואתם תחסמו את הכתובת שהוא בחר. וזו עלולה להתגלות כלקוח שלכם עצמכם, כשער תשלומים או כשירות ניטור.

ואם בכל זאת נדרשת חסימה, הפעילו אותה עם סף סכנה גבוה ותמיד עם מגבלת זמן (AUTO_BLOCK_TIMEOUT) כדי שרשומה שגויה לא תישאר לנצח.

מה לעשות עם זה בפועל

הסריקה כשלעצמה אינה מזיקה: היא אינה שוברת דבר ומתרחשת אצל כולם ברציפות. וערכם של נתוני PSAD אינו בעצם העובדה אלא בשינויים באופייה.

תצפיות מועילות:

  • עניין ממוקד. סורק רגיל עובר על אלפי כתובות ועל תריסר פורטים פופולריים. אבל אם מישהו עובר בשיטתיות על הפורטים דווקא של השרת שלכם, כולל לא סטנדרטיים, זה כבר אינו רקע;
  • סריקה של פורט מסוים אחד. מגעים עם פורט של מסד נתונים או של לוח בקרה פירושם שמישהו מחפש דווקא את השירות הזה — בדרך כלל אחרי חדשות על פרצה נוספת בו;
  • איסוף מודיעין לפני ניסיון. קפיצה בסריקה ושעות אחר כך ניחוש סיסמאות מאותו טווח הם רצף טיפוסי, והחצי הראשון שלו קונה מעט זמן.

והמסקנה המעשית מכל אחת מהתצפיות האלה זהה: בדקו שרשימת הפורטים הפונים החוצה תואמת לציפיות ושמה שרץ בכל אחד מהם הוא משהו שעדכנתם השנה.

מקומו בארגז הכלים

PSAD אינו מחליף לא את חומת האש, לא את Fail2ban ולא מערכת לזיהוי חדירות. הוא סוגר פרצה צרה אחת — ניסיונות שאינם משאירים עקבות בשום מקום אחר כי מעולם לא הגיעו לאפליקציה. הוא עולה מעט, עובד בלי הגדרות אחרי ההרצה הראשונה, והסיכום שלו עונה על שאלה שאחרת איש אינו שואל: האם מלבד רעש הרקע הכללי מישהו מתעניין בשרת שלכם. איך נראה הסיכום הזה מראה עמוד ההדגמה למטה.