18、网络安全防护：psad 与 fwsnort 的应用与实践

网络安全防护：psad 与 fwsnort 的应用与实践

1. psad 主动响应机制

1.1 攻击场景分析

在网络安全防护中，psad 作为一款强大的工具，在应对各种攻击时发挥着重要作用。以下是几种常见的攻击场景及 psad 的响应情况：
- UDP 扫描 ：psad 监测到针对 144.202.X.X IP 地址的扫描，在添加 iptables 阻塞规则前，扫描间隔内监测到 66 个 UDP 数据包。默认情况下，psad 每五秒检查一次新的 iptables 日志消息。例如：

Mar  5 18:55:55 iptablesfw psad: added iptables auto-block against 144.202.X.X for 3600 seconds
Mar  5 18:56:00 iptablesfw psad: scan detected: 144.202.X.X -> 71.157.X.X tcp=0 udp=66 icmp=0 dangerlevel: 4

• Nmap 版本扫描 ：攻击者在等待一小时后，再次使用 Nmap 对 TCP 端口 80 进行版本扫描。建立与目标端口 80 的 TCP 连接本身并不表明有可疑活动，从传输层及以下来看，该连接看似正常，iptables 不会记录任何信息。

[ext_scanner]# nmap -sV -P