پورٹ اسکیننگ کی نشاندہی میں ایک خاصیت ہے جو اسے معمول کے اوزاروں سے الگ کر دیتی ہے۔ Fail2ban ایپلیکیشنوں کے لاگ پڑھتا ہے — اور جب کوئی بند پورٹ اسکین ہو تو وہاں ایپلیکیشن ہی نہیں ہوتی، لہٰذا لاگ میں اندراج بھی نہیں ہوتا۔ اسکیننگ صرف فائروال کی سطح پر نظر آتی ہے، اور عین وہیں PSAD کام کرتا ہے: وہ ان پیغامات کو پڑھتا ہے جو iptables مسترد کیے گئے پیکٹوں کے بارے میں لکھتا ہے۔
لازمی شرط: لاگنگ فعال ہونی چاہیے
PSAD کے «نصب ہے اور کچھ نہیں دکھاتا» ہونے کی بنیادی وجہ یہی ہے۔ فائروال میں لاگنگ کے قواعد کے بغیر اس کے پاس پڑھنے کو کچھ نہیں، اور اس دوران کوئی خرابی بھی پیدا نہیں ہوتی۔
اگر آپ UFW استعمال کرتے ہیں:
sudo ufw logging low
sudo ufw status verboseیقین کرنے کے لیے کہ پیغامات واقعی آ رہے ہیں:
sudo journalctl -k | grep -c '\[UFW'
sudo grep -c 'UFW BLOCK' /var/log/ufw.logدونوں کمانڈوں سے صفر کا مطلب ہے کہ PSAD کام نہیں کرے گا۔ اور Debian 12 اور Ubuntu 24.04 کے بارے میں الگ سے: rsyslog کے بغیر فائل /var/log/ufw.log موجود ہی نہیں ہوتی اور سب کچھ systemd کے جرنل میں جاتا ہے — اور PSAD کی ترتیبات میں لاگ کا راستہ اسے مدِنظر رکھنا چاہیے۔
تنصیب
sudo apt install psad
sudo psad --sig-update
sudo psad -R
sudo psad --Statusآخری کمانڈ اصل ہے۔ یہ دکھاتی ہے کہ کتنے پیکٹ تجزیہ ہوئے، کون سے پتے دیکھے گئے اور کس درجہ خطرے پر۔ اور اگر تجزیہ شدہ پیکٹوں کا شمار کنندہ صفر ہو تو پچھلے حصے پر لوٹیں: مسئلہ لاگنگ کا ہے، اسکیننگ کی عدم موجودگی کا نہیں۔
ترتیبات /etc/psad/psad.conf میں ہیں۔ اور عملی اہمیت کے پیرامیٹر کم ہیں: میل کا پتہ، لاگ کا راستہ، اور خطرے کے درجات کی حدیں۔
خطرے کے درجات
PSAD ہر ماخذ کو 1 سے 5 تک درجہ دیتا ہے، اس بنیاد پر کہ کتنے مختلف پورٹوں کو چھوا گیا اور رویہ معلوم اسکیننگ تکنیکوں سے کتنا ملتا ہے۔
- 1–2 — بند پورٹوں سے اکا دکا رابطے۔ یہ انٹرنیٹ کا مستقل پس منظر ہے؛ ردعمل کی ضرورت نہیں؛
- 3 — پورٹوں پر منظم گشت۔ عموماً تحقیقی اسکینر، جن کی کئی درجن مثالیں نیٹ ورک پر موجود ہیں؛
- 4–5 — ایک ہی پتے سے بڑی تعداد میں پورٹوں کی دانستہ ٹٹول، اکثر رابطوں کی نوعیت چھپانے کی کوشش کے ساتھ۔
میل کی حد EMAIL_ALERT_DANGER_LEVEL سے طے ہوتی ہے۔ قدر 3 عموماً روزانہ کئی خطوط کا مطلب رکھتی ہے، اور یہ خاصی جلد میل کلائنٹ میں ایک قاعدے تک لے جاتی ہے۔ زیادہ معقول یہ ہے کہ 4 رکھیں اور باقی کسی خلاصہ صفحے پر دیکھیں۔
خودکار روک: نہ کریں
PSAD خود بھی فائروال میں قواعد جوڑ سکتا ہے (ENABLE_AUTO_IDS)۔ اور ایک اکیلے چلتے ہوئے سرور پر اسے فعال کرنا مناسب نہیں، اور وجہ ٹھوس ہے: پیکٹ میں بھیجنے والے کا پتہ جعلی ہو سکتا ہے۔ کسی کے لیے یہ کافی ہے کہ آپ کی طرف بدلے ہوئے پتے والے پیکٹ بھیج دے — اور آپ وہی پتہ روک دیں گے جو اُس نے چنا۔ اور وہ آپ ہی کا گاہک، کوئی ادائیگی گیٹ وے یا نگرانی کی سروس نکل سکتا ہے۔
اور اگر پھر بھی روک درکار ہو تو اسے خطرے کی بلند حد کے ساتھ اور ہمیشہ وقت کی حد (AUTO_BLOCK_TIMEOUT) کے ساتھ فعال کریں تاکہ کوئی غلط اندراج ہمیشہ کے لیے نہ رہ جائے۔
عملی طور پر اس کا کیا کریں
اسکیننگ بذاتِ خود بے ضرر ہے: یہ کچھ نہیں توڑتی اور سب کے ساتھ مسلسل ہوتی رہتی ہے۔ اور PSAD کے ڈیٹا کی قدر خود واقعے میں نہیں بلکہ اس کے مزاج کی تبدیلی میں ہے۔
مفید مشاہدے:
- ہدف والی دلچسپی۔ عام اسکینر ہزاروں پتوں اور درجن بھر مقبول پورٹوں پر گشت کرتا ہے۔ مگر اگر کوئی منظم انداز میں عین آپ ہی کے سرور کے پورٹ ٹٹول رہا ہو، بشمول غیر معیاری پورٹوں کے، تو یہ اب پس منظر نہیں؛
- کسی ایک مخصوص پورٹ کی اسکیننگ۔ ڈیٹابیس یا کنٹرول پینل کے پورٹ سے رابطوں کا مطلب ہے کہ کوئی عین اسی سروس کو ڈھونڈ رہا ہے — عموماً اس میں کسی نئی خامی کی خبر کے بعد؛
- کوشش سے پہلے جاسوسی۔ اسکیننگ میں اچھال اور گھنٹوں بعد اسی حدود سے پاس ورڈ کا اندازہ ایک معمول کی ترتیب ہے، اور اس کا پہلا نصف کچھ وقت خرید دیتا ہے۔
اور ان میں سے کسی بھی مشاہدے کا عملی نتیجہ ایک ہی ہے: جانچ لیں کہ باہر کی طرف رخ کیے ہوئے پورٹوں کی فہرست توقعات سے میل کھاتی ہے اور ہر پورٹ پر جو چل رہا ہے وہ کچھ ایسا ہے جسے آپ نے اسی سال تازہ کیا ہے۔
اوزاروں میں اس کی جگہ
PSAD نہ فائروال کی جگہ لیتا ہے، نہ Fail2ban کی، نہ کسی دراندازی نشاندہی نظام کی۔ یہ ایک تنگ خلا بند کرتا ہے — وہ کوششیں جو کہیں اور نشان نہیں چھوڑتیں کیونکہ وہ کبھی کسی ایپلیکیشن تک پہنچی ہی نہیں۔ اس کی قیمت کم ہے، پہلی بار چلنے کے بعد یہ بغیر ترتیب کے کام کرتا ہے، اور اس کا خلاصہ اُس سوال کا جواب دیتا ہے جو ورنہ کوئی نہیں پوچھتا: کیا عمومی پس منظر کے علاوہ کوئی آپ کے سرور میں دلچسپی رکھتا ہے۔ یہ خلاصہ کیسا لگتا ہے، نیچے ڈیمو صفحہ دکھاتا ہے۔