Otkrivanje skeniranja portova ima osobenost koja ga izbacuje iz uobičajenog kompleta alata. Fail2ban čita dnevnike aplikacija — a kada se skenira zatvoren port, aplikacije nema, pa nema ni zapisa u dnevniku. Skeniranje se vidi samo na nivou zaštitnog zida, i upravo tu radi PSAD: čita poruke koje iptables upisuje o odbačenim paketima.

Obavezan uslov: beleženje mora biti uključeno

To je glavni razlog zbog kojeg je PSAD „instaliran i ne prikazuje ništa". Bez pravila beleženja u zaštitnom zidu nema šta da čita, a nikakva greška se pri tome ne proizvodi.

Ako koristite UFW:

sudo ufw logging low
sudo ufw status verbose

Da potvrdite da se poruke zaista pojavljuju:

sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.log

Nule iz obe komande znače da PSAD neće raditi. I posebno o Debianu 12 i Ubuntuu 24.04: bez rsyslog-a fajl /var/log/ufw.log ne postoji i sve ide u systemd dnevnik — putanja dnevnika u podešavanjima PSAD-a to mora uzeti u obzir.

Instalacija

sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Status

Poslednja komanda je glavna. Prikazuje koliko je paketa razloženo, koje su adrese primećene i na kom nivou opasnosti. Ako je brojač razloženih paketa nula, vratite se na prethodni odeljak: problem je beleženje, a ne odsustvo skeniranja.

Podešavanja su u /etc/psad/psad.conf. Parametara od praktičnog značaja ima malo: adresa za poštu, putanja do dnevnika i pragovi nivoa opasnosti.

Nivoi opasnosti

PSAD ocenjuje svaki izvor od 1 do 5 u zavisnosti od toga koliko je različitih portova dodirnuto i koliko ponašanje liči na poznate tehnike skeniranja.

  • 1–2 — pojedinačni kontakti sa zatvorenim portovima. To je stalna pozadina interneta; reakcija nije potrebna;
  • 3 — sistematsko prolaženje kroz portove. Obično istraživački skeneri, kojih na mreži ima nekoliko desetina;
  • 4–5 — namerno pipanje velikog broja portova sa jedne adrese, često uz pokušaj da se prikrije priroda kontakata.

Prag za poštu postavlja se sa EMAIL_ALERT_DANGER_LEVEL. Vrednost 3 obično znači nekoliko poruka dnevno, što prilično brzo vodi do pravila u poštanskom klijentu. Razumnije je postaviti 4 i ostalo gledati na zbirnoj stranici.

Automatsko blokiranje: nemojte

PSAD može sam da dodaje pravila u zaštitni zid (ENABLE_AUTO_IDS). Na jednom radnom serveru to ne vredi uključivati, a razlog je konkretan: izvorna adresa u paketu može biti lažirana. Dovoljno je da neko ka vama pošalje pakete sa podmetnutom adresom — i blokiraćete adresu koju je on izabrao. Može se ispostaviti da je to vaš sopstveni kupac, platni prolaz ili servis za praćenje.

Ako je blokiranje ipak potrebno, uključite ga sa visokim pragom opasnosti i uvek sa vremenskim ograničenjem (AUTO_BLOCK_TIMEOUT) da pogrešan unos ne bi ostao zauvek.

Šta sa tim u praksi

Skeniranje samo po sebi je bezopasno: ne kvari ništa i dešava se neprekidno svima. Vrednost PSAD podataka nije u samoj činjenici nego u promenama karaktera.

Korisna zapažanja:

  • Usmeren interes. Običan skener prolazi kroz hiljade adresa i tuce popularnih portova. Ako neko metodično prolazi kroz portove baš vašeg servera, uključujući nestandardne, to više nije pozadina;
  • Skeniranje jednog određenog porta. Kontakti sa portom baze podataka ili kontrolnog panela znače da neko traži baš taj servis — obično posle vesti o još jednoj ranjivosti u njemu;
  • Izviđanje pre pokušaja. Skok skeniranja i satima kasnije pogađanje lozinki iz istog opsega tipičan je niz, a njegova prva polovina kupuje malo vremena.

Praktičan zaključak iz bilo kog od tih zapažanja isti je: proverite da se lista portova okrenutih napolje poklapa sa očekivanjima i da je ono što na svakom od njih radi nešto što ste ažurirali ove godine.

Njegovo mesto u kompletu alata

PSAD ne zamenjuje ni zaštitni zid, ni Fail2ban, ni sistem za otkrivanje upada. Zatvara jedan uzak procep — pokušaje koji nigde drugde ne ostavljaju tragove jer nikada nisu dosegli aplikaciju. Košta malo, radi bez podešavanja posle prvog pokretanja, a njegov sažetak odgovara na pitanje koje inače niko ne postavlja: interesuje li se iko za vaš server pored opšte pozadine. Kako taj sažetak izgleda pokazuje demo stranica ispod.