13、深入了解psad：端口扫描攻击检测器与可疑流量检测

深入了解psad：端口扫描攻击检测器与可疑流量检测

1. psad配置文件概述

psad（Port Scan Attack Detector）是一款用于Linux系统的端口扫描攻击检测工具，其功能的实现依赖于多个配置文件。以下是对这些配置文件的详细介绍：
- FW_MSG_SEARCH变量配置 ：若要让psad仅分析包含“DROP”字符串的iptables日志消息，可按如下方式配置 FW_MSG_SEARCH 变量：

FW_MSG_SEARCH                 DROP;

• /etc/psad/auto_dl文件 ：与其他入侵检测系统（IDS）一样，psad存在较高的误报概率。因此，psad具备白名单和黑名单功能。 auto_dl 文件的语法如下：

ip/network
danger level
optional protocol/optional ports

若危险级别设置为0，psad将完全忽略该IP地址或网络；若某IP地址或网络被认定为极度恶意，危险级别可设为最高5级。例如：

192.168.10.3     0;
10.10.1.0/24     5     tcp/22;
</