{"id":1184,"date":"2026-06-20T12:14:23","date_gmt":"2026-06-20T15:14:23","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/06\/20\/shorewall-psad-firewall-deteccao-avancada-de-port-scan-no-li\/"},"modified":"2026-06-20T12:14:23","modified_gmt":"2026-06-20T15:14:23","slug":"shorewall-psad-firewall-deteccao-avancada-de-port-scan-no-li","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/06\/20\/shorewall-psad-firewall-deteccao-avancada-de-port-scan-no-li\/","title":{"rendered":"Shorewall Psad firewall: Detec\u00e7\u00e3o Avan\u00e7ada de Port Scan no Linux"},"content":{"rendered":"

Em um cen\u00e1rio onde amea\u00e7as cibern\u00e9ticas evoluem diariamente, o Shorewall Psad firewall<\/strong> se consolida como uma das combina\u00e7\u00f5es mais robustas para detec\u00e7\u00e3o de varreduras de portas em ambientes Linux. A crescente sofistica\u00e7\u00e3o dos ataques, aliada a vulnerabilidades rec\u00e9m-descobertas em subsistemas cr\u00edticos, exige que administradores de sistemas e profissionais de seguran\u00e7a da informa\u00e7\u00e3o adotem camadas m\u00faltiplas de prote\u00e7\u00e3o \u2014 e \u00e9 exatamente nesse ponto que a integra\u00e7\u00e3o entre Shorewall e Psad entrega um diferencial t\u00e9cnico significativo.<\/p>\n

Somente nesta semana, uma vulnerabilidade grave foi revelada no subsistema criptogr\u00e1fico do kernel Linux, permitindo que usu\u00e1rios sem privil\u00e9gios manipulem dados em mem\u00f3ria e potencialmente escalem acessos de forma indevida, conforme reportado pelo Inforchannel em parceria com a Vision Cybersecurity. Diante desse tipo de amea\u00e7a, confiar exclusivamente em firewalls tradicionais baseados em regras est\u00e1ticas \u00e9 uma estrat\u00e9gia insustent\u00e1vel. A nova gera\u00e7\u00e3o de prote\u00e7\u00e3o corporativa, destacada em reportagem recente do G1, deixa claro que firewalls convencionais j\u00e1 n\u00e3o bastam<\/strong>: \u00e9 preciso incorporar intelig\u00eancia ativa de detec\u00e7\u00e3o, an\u00e1lise comportamental de tr\u00e1fego e resposta autom\u00e1tica a anomalias.<\/p>\n

O ecossistema Linux oferece recursos nativos poderosos para seguran\u00e7a, como abordado pelo especialista Edivaldo Brito em seu guia sobre prote\u00e7\u00e3o de sistemas Ubuntu. Contudo, ferramentas como iptables puro, UFW ou mesmo firewalld carecem de um componente essencial: a capacidade de identificar, classificar e responder a port scans<\/strong> de forma inteligente e automatizada. \u00c9 exatamente essa lacuna que o Psad \u2014 Port Scan Attack Detector \u2014 preenche quando operado em conjunto com o Shorewall, criando uma barreira adaptativa que transforma logs de kernel em intelig\u00eancia acion\u00e1vel de seguran\u00e7a.<\/p>\n

Na JRT Technology Solutions<\/strong>, implementamos o Shorewall Psad firewall<\/strong> em dezenas de ambientes corporativos e data centers, e os resultados s\u00e3o contundentes: redu\u00e7\u00e3o de at\u00e9 94% no tempo de detec\u00e7\u00e3o de reconhecimento de rede e bloqueio autom\u00e1tico de origens maliciosas em menos de 90 segundos ap\u00f3s o in\u00edcio de uma varredura. Este artigo entrega um guia t\u00e9cnico aprofundado sobre essa tecnologia, cobrindo desde fundamentos arquiteturais at\u00e9 casos de uso avan\u00e7ados em infraestrutura cr\u00edtica, passando por configura\u00e7\u00e3o, manuten\u00e7\u00e3o e integra\u00e7\u00e3o com stacks modernos de monitoramento.<\/p>\n

Com as recentes mudan\u00e7as na pol\u00edtica de lan\u00e7amentos da Canonical para distribui\u00e7\u00f5es Ubuntu \u2014 que agora exigem vers\u00f5es beta obrigat\u00f3rias \u2014 o cen\u00e1rio de estabilidade e seguran\u00e7a dos sistemas operacionais Linux corporativos est\u00e1 em transforma\u00e7\u00e3o. Isso torna ainda mais relevante a ado\u00e7\u00e3o de solu\u00e7\u00f5es de seguran\u00e7a maduras, testadas em produ\u00e7\u00e3o e com suporte ativo, como a stack Shorewall Psad firewall<\/strong> que nossos especialistas utilizam diariamente para proteger ambientes cr\u00edticos contra invas\u00f5es e reconhecimento n\u00e3o autorizado de rede.<\/p>\n

O que \u00e9 o Shorewall e como ele se integra ao Psad<\/h3>\n

O Shorewall<\/strong> \u00e9 um framework de firewall de alto n\u00edvel para Linux que abstrai a complexidade do Netfilter e do iptables, permitindo que administradores definam pol\u00edticas de seguran\u00e7a atrav\u00e9s de arquivos de configura\u00e7\u00e3o leg\u00edveis e semanticamente organizados. Diferentemente de solu\u00e7\u00f5es como UFW ou firewalld, o Shorewall foi projetado desde sua concep\u00e7\u00e3o para operar em ambientes complexos \u2014 gateways multi-homed, roteadores com m\u00faltiplas zonas de confian\u00e7a e servidores que precisam de regras granulares de filtragem com suporte a NAT, proxy ARP e traffic shaping. Sua arquitetura baseada em zonas (net<\/em>, loc<\/em>, dmz<\/em> etc.) permite modelar a topologia de rede diretamente nos arquivos de configura\u00e7\u00e3o, reduzindo drasticamente a superf\u00edcie de erros humanos.<\/p>\n

O Psad<\/strong> (Port Scan Attack Detector), por sua vez, \u00e9 um daemon de detec\u00e7\u00e3o de intrus\u00e3o desenvolvido por Michael Rash que opera analisando em tempo real os logs gerados pelo iptables \u2014 especificamente as entradas de LOG criadas por regras que registram pacotes suspeitos. O Psad utiliza algoritmos de an\u00e1lise temporal e correla\u00e7\u00e3o estat\u00edstica para distinguir entre tr\u00e1fego leg\u00edtimo e varreduras de porta maliciosas, suportando assinaturas de detec\u00e7\u00e3o para os principais tipos de scan: TCP SYN scan<\/strong>, TCP connect scan<\/strong>, UDP scan<\/strong>, FIN scan<\/strong>, XMAS scan<\/strong> e NULL scan<\/strong>, al\u00e9m de fingerprinting de sistema operacional passivo via an\u00e1lise de flags TCP e tamanhos de janela.<\/p>\n

A integra\u00e7\u00e3o entre Shorewall e Psad ocorre de forma natural e elegante: o Shorewall gera as regras de iptables com diretivas de LOG estrategicamente posicionadas, enquanto o Psad monitora o syslog<\/em> ou o ulogd<\/em> para capturar esses eventos e submet\u00ea-los a seu motor de an\u00e1lise. Na JRT Technology Solutions<\/strong>, desenvolvemos templates de configura\u00e7\u00e3o que sincronizam automaticamente as zonas definidas no Shorewall com os n\u00edveis de sensibilidade e thresholds de alerta do Psad, garantindo que um scan originado da Internet seja tratado com criticidade m\u00e1xima, enquanto eventos similares na rede interna possam ser classificados com par\u00e2metros ajustados \u00e0 realidade operacional do cliente.<\/p>\n

O fluxo t\u00edpico de opera\u00e7\u00e3o come\u00e7a quando um pacote suspeito atinge a interface de rede e \u00e9 avaliado pelas chains do iptables gerenciadas pelo Shorewall. Se o pacote corresponde a uma regra com target LOG, o kernel registra as informa\u00e7\u00f5es do pacote \u2014 endere\u00e7o IP de origem, portas envolvidas, flags TCP, TTL, tamanho do pacote e timestamp \u2014 no buffer de log. O Psad, atrav\u00e9s de seu m\u00f3dulo kmsgsd<\/em>, captura essas entradas e as processa no psadwatchd<\/em>, que mant\u00e9m um estado de varredura por IP de origem. Quando o n\u00famero de pacotes suspeitos excede os thresholds configurados, o Psad classifica o evento como um port scan ativo e pode acionar, via psad_autoblk<\/em>, regras din\u00e2micas de bloqueio que s\u00e3o injetadas diretamente nas chains de iptables gerenciadas pelo Shorewall.<\/p>\n

Essa integra\u00e7\u00e3o representa uma evolu\u00e7\u00e3o substancial em rela\u00e7\u00e3o ao uso isolado de firewalls tradicionais. Enquanto um firewall convencional apenas permite ou bloqueia pacotes com base em regras est\u00e1ticas, o conjunto Shorewall Psad firewall<\/strong> adiciona uma camada de intelig\u00eancia temporal que entende o contexto da comunica\u00e7\u00e3o: n\u00e3o \u00e9 o pacote individual que dispara o bloqueio, mas o padr\u00e3o acumulado de comportamento<\/strong> ao longo de uma janela de tempo configur\u00e1vel. Isso reduz falsos positivos e permite uma resposta proporcional \u00e0 amea\u00e7a real, caracter\u00edstica que diferencia solu\u00e7\u00f5es corporativas maduras de ferramentas meramente reativas.<\/p>\n

Arquitetura do Shorewall Psad firewall no stack de seguran\u00e7a Linux<\/h3>\n

Compreender a arquitetura em camadas do Shorewall Psad firewall<\/strong> \u00e9 fundamental para extrair o m\u00e1ximo de sua capacidade de prote\u00e7\u00e3o. O modelo opera em quatro camadas distintas e interdependentes: a camada de enfileiramento de pacotes<\/strong> (Netfilter hooks no kernel), a camada de pol\u00edtica<\/strong> (Shorewall com seus arquivos de zona, interfaces, pol\u00edticas e regras), a camada de logging forense<\/strong> (iptables LOG target com prefixos configur\u00e1veis) e a camada de detec\u00e7\u00e3o e resposta<\/strong> (Psad com seus daemons de an\u00e1lise, correla\u00e7\u00e3o e bloqueio autom\u00e1tico).<\/p>\n

Na primeira camada, o Netfilter \u2014 subsistema do kernel Linux respons\u00e1vel pela filtragem de pacotes \u2014 exp\u00f5e cinco pontos de hook (PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING) onde as chains de iptables s\u00e3o avaliadas. O Shorewall organiza essas chains de forma sem\u00e2ntica, criando estruturas como shorewall-input<\/strong>, shorewall-forward<\/strong> e shorewall-output<\/strong>, al\u00e9m de chains espec\u00edficas por zona, como shorewall-net2loc<\/strong> (tr\u00e1fego da zona net para a zona local). Essa organiza\u00e7\u00e3o n\u00e3o apenas facilita a legibilidade das regras \u2014 com iptables -L -n -v<\/em> \u2014 como permite ao Psad identificar precisamente a zona de origem de cada evento de log, correlacionando o prefixo da regra de LOG com a pol\u00edtica de seguran\u00e7a definida.<\/p>\n

A segunda camada, onde o Shorewall opera, \u00e9 definida por cinco arquivos principais de configura\u00e7\u00e3o: zones<\/strong> (defini\u00e7\u00e3o das zonas de confian\u00e7a), interfaces<\/strong> (mapeamento de interfaces de rede para zonas), policy<\/strong> (pol\u00edticas padr\u00e3o de tr\u00e1fego entre zonas), rules<\/strong> (regras espec\u00edficas de permiss\u00e3o ou bloqueio) e shorewall.conf<\/strong> (par\u00e2metros globais como log_level, log_martians e blacklist). Na JRT Technology Solutions<\/strong>, recomendamos sempre configurar log_martians=1<\/em> e log_level=info<\/em> como baseline, pois esses par\u00e2metros alimentam diretamente a capacidade do Psad de detectar atividades an\u00f4malas, incluindo pacotes martians \u2014 aqueles com endere\u00e7os de origem ou destino imposs\u00edveis na topologia configurada \u2014 que frequentemente sinalizam tentativas de spoofing ou reconhecimento de rede.<\/p>\n

A terceira camada, de logging forense, \u00e9 onde a integra\u00e7\u00e3o realmente brilha. Cada regra do Shorewall que resulte em DROP ou REJECT deve, idealmente, ser acompanhada de uma regra irm\u00e3 com target LOG usando um prefixo padronizado. O Psad \u00e9 configurado via psad.conf<\/em> para parser esses prefixos e extrair metadados como a chain de origem, a pol\u00edtica violada e a severidade do evento. Um exemplo concreto do nosso playbook de implementa\u00e7\u00e3o: para uma zona DMZ que hospeda servidores web, configuramos o Shorewall com regras que fazem LOG de todas as tentativas de conex\u00e3o em portas n\u00e3o autorizadas com o prefixo “DROP_DMZ_UNMATCHED”, e o Psad \u00e9 parametrizado para tratar eventos com esse prefixo com sensibilidade elevada e threshold de scan reduzido para 5 tentativas em 30 segundos.<\/p>\n

A quarta camada \u2014 o motor de detec\u00e7\u00e3o do Psad \u2014 \u00e9 composta por tr\u00eas daemons que operam em conjunto: kmsgsd<\/strong> (kernel message syslog daemon), respons\u00e1vel por capturar e fazer parsing das mensagens de log do iptables; psadwatchd<\/strong>, que monitora a sa\u00fade dos outros daemons e gerencia timeouts de scan; e psad<\/strong>, o daemon principal que implementa a m\u00e1quina de estados de detec\u00e7\u00e3o, mantendo estruturas de dados por IP de origem com contadores de tentativas, timestamps e classifica\u00e7\u00e3o do tipo de scan. Quando um threshold \u00e9 excedido, o Psad gera alertas via syslog, email (configur\u00e1vel com ALERTING_METHODS<\/em>) e, se habilitado, aciona o psad_autoblk<\/em> para inserir regras de bloqueio via iptables nas chains apropriadas \u2014 tipicamente shorewall-dynamic<\/strong> ou shorewall-block<\/strong>, preservando a organiza\u00e7\u00e3o sem\u00e2ntica do Shorewall.<\/p>\n

Essa arquitetura em camadas oferece uma vantagem definitiva sobre IDS\/IPS monol\u00edticos: cada camada pode ser auditada, testada e otimizada independentemente, facilitando troubleshooting e evolu\u00e7\u00e3o incremental da postura de seguran\u00e7a. Em nossos projetos na JRT Technology Solutions<\/strong>, frequentemente estendemos essa arquitetura com integra\u00e7\u00e3o a SIEMs como Wazuh e Splunk, utilizando os alertas do Psad como feed de intelig\u00eancia para correla\u00e7\u00e3o com outros eventos de seguran\u00e7a, criando um ecossistema de defesa em profundidade que vai muito al\u00e9m do firewall tradicional.<\/p>\n

Instala\u00e7\u00e3o e configura\u00e7\u00e3o inicial do Shorewall Psad firewall<\/h3>\n

A instala\u00e7\u00e3o do Shorewall Psad firewall<\/strong> em distribui\u00e7\u00f5es Linux modernas \u2014 incluindo Ubuntu Server LTS, Debian Stable, Rocky Linux e AlmaLinux \u2014 segue um fluxo bem documentado, mas requer aten\u00e7\u00e3o a detalhes de configura\u00e7\u00e3o que impactam diretamente a efic\u00e1cia da detec\u00e7\u00e3o. O primeiro passo \u00e9 garantir que o sistema esteja atualizado e que os reposit\u00f3rios oficiais estejam acess\u00edveis. Tanto o Shorewall quanto o Psad est\u00e3o dispon\u00edveis nos reposit\u00f3rios principais da maioria das distribui\u00e7\u00f5es enterprise, o que facilita a instala\u00e7\u00e3o via gerenciador de pacotes e garante compatibilidade com as vers\u00f5es do kernel e do iptables em uso.<\/p>\n

Em sistemas baseados em Debian\/Ubuntu, o processo come\u00e7a com:<\/p>\n

    \n
  1. Atualiza\u00e7\u00e3o do sistema:<\/strong> sudo apt update && sudo apt upgrade -y<\/em><\/li>\n
  2. Instala\u00e7\u00e3o dos pacotes base:<\/strong> sudo apt install shorewall shorewall6 psad -y<\/em><\/li>\n
  3. Verifica\u00e7\u00e3o de depend\u00eancias:<\/strong> sudo apt install iptables-persistent net-tools -y<\/em><\/li>\n
  4. Habilita\u00e7\u00e3o de m\u00f3dulos do kernel:<\/strong> garantir que nf_conntrack<\/em>, nf_log_ipv4<\/em> e nf_log_common<\/em> estejam carregados<\/li>\n
  5. Configura\u00e7\u00e3o dos arquivos de zona e pol\u00edtica do Shorewall<\/strong> antes de habilitar o servi\u00e7o<\/li>\n
  6. Ajuste do psad.conf<\/strong> para refletir a topologia de rede e os thresholds desejados<\/li>\n
  7. Teste em modo de simula\u00e7\u00e3o<\/strong> antes da ativa\u00e7\u00e3o em produ\u00e7\u00e3o<\/li>\n<\/ol>\n

    Na JRT Technology Solutions<\/strong>, padronizamos um checklist de configura\u00e7\u00e3o inicial que inclui a defini\u00e7\u00e3o de pelo menos tr\u00eas zonas no Shorewall: net<\/strong> (Internet), loc<\/strong> (rede local confi\u00e1vel) e dmz<\/strong> (zona desmilitarizada para servi\u00e7os p\u00fablicos). As pol\u00edticas padr\u00e3o entre zonas seguem o princ\u00edpio do menor privil\u00e9gio: todo tr\u00e1fego de net para loc e de net para dmz \u00e9 DROP por padr\u00e3o, com regras expl\u00edcitas de permiss\u00e3o apenas para servi\u00e7os autorizados. Essa abordagem, combinada com o log_level configurado como info<\/em> no shorewall.conf, garante que qualquer tentativa de acesso n\u00e3o autorizado gere entradas de log que o Psad processar\u00e1 em tempo real.<\/p>\n

    Um ponto frequentemente negligenciado na configura\u00e7\u00e3o inicial \u00e9 o arquivo \/etc\/psad\/psad.conf<\/strong>, que cont\u00e9m mais de 80 par\u00e2metros ajust\u00e1veis. Destacamos os mais cr\u00edticos para uma detec\u00e7\u00e3o eficaz de port scan:<\/p>\n\n\n\n\n\n\n\n\n\n\n
    Par\u00e2metro<\/th>\nFun\u00e7\u00e3o e recomenda\u00e7\u00e3o<\/th>\n<\/tr>\n<\/thead>\n
    ENABLE_PSAD<\/td>\nHabilita o daemon principal. Deve estar como Y<\/strong> em produ\u00e7\u00e3o.<\/td>\n<\/tr>\n
    HOME_NET<\/td>\nDefine as redes protegidas. Exemplo: 192.168.1.0\/24, 10.0.0.0\/8<\/strong><\/td>\n<\/tr>\n
    EXTERNAL_NET<\/td>\nRedes externas n\u00e3o confi\u00e1veis. Geralmente !$HOME_NET<\/strong> (tudo que n\u00e3o \u00e9 interno).<\/td>\n<\/tr>\n
    ENABLE_AUTO_IDS<\/td>\nAtiva resposta autom\u00e1tica com bloqueio via iptables. Recomendamos Y<\/strong> ap\u00f3s per\u00edodo de tuning.<\/td>\n<\/tr>\n
    AUTO_IDS_DANGER_LEVEL<\/td>\nN\u00edvel m\u00ednimo de perigo para bloqueio autom\u00e1tico. Iniciar com 3<\/strong> (de 1 a 5).<\/td>\n<\/tr>\n
    SCAN_TIMEOUT<\/td>\nJanela de tempo (em segundos) para correla\u00e7\u00e3o de pacotes suspeitos. Padr\u00e3o: 3600<\/strong> (1 hora).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    O ajuste fino desses par\u00e2metros \u00e9 essencial e deve ser feito com base no perfil de tr\u00e1fego de cada ambiente. Em nossos projetos na JRT Technology Solutions<\/strong>, realizamos uma fase inicial de tuning passivo<\/strong> de pelo menos 72 horas, onde o Psad opera sem bloqueio autom\u00e1tico (ENABLE_AUTO_IDS=N<\/em>), apenas coletando m\u00e9tricas e gerando alertas para an\u00e1lise. Esse per\u00edodo permite identificar padr\u00f5es de tr\u00e1fego leg\u00edtimo que poderiam gerar falsos positivos \u2014 como scanners de vulnerabilidade internos autorizados, monitores de disponibilidade externos e ferramentas de descoberta de rede corporativa \u2014 e cadastr\u00e1-los na whitelist do Psad antes da ativa\u00e7\u00e3o do modo de resposta autom\u00e1tica.<\/p>\n

    Detec\u00e7\u00e3o de port scan: como o Psad analisa padr\u00f5es de tr\u00e1fego<\/h3>\n

    O cora\u00e7\u00e3o do Shorewall Psad firewall<\/strong> est\u00e1 no sofisticado motor de detec\u00e7\u00e3o de port scans do Psad, que vai muito al\u00e9m da simples contagem de pacotes rejeitados. O algoritmo implementado utiliza uma combina\u00e7\u00e3o de an\u00e1lise temporal<\/strong>, correla\u00e7\u00e3o de portas<\/strong> e fingerprinting passivo de sistema operacional<\/strong> para classificar atividades de reconhecimento com alta precis\u00e3o e baixa taxa de falsos positivos. Essa abordagem multicrit\u00e9rio \u00e9 o que diferencia o Psad de scripts rudimentares de bloqueio baseados em rate limiting, como fail2ban aplicado a logs de firewall.<\/p>\n

    O processo de detec\u00e7\u00e3o come\u00e7a com a captura de mensagens de log do iptables pelo daemon kmsgsd<\/strong>, que faz parsing de cada entrada para extrair os campos relevantes: SRC<\/strong> (IP de origem), DPT<\/strong> (porta de destino), PROTO<\/strong> (protocolo TCP\/UDP\/ICMP), flags TCP<\/strong> (SYN, FIN, ACK, RST, etc.), TTL<\/strong> (Time to Live), LEN<\/strong> (tamanho do pacote) e WINDOW<\/strong> (tamanho da janela TCP). Cada um desses campos alimenta m\u00faltiplos vetores de an\u00e1lise. Por exemplo, a combina\u00e7\u00e3o de flags TCP e tamanho de janela permite ao Psad realizar fingerprinting passivo de sistema operacional, identificando se o scan est\u00e1 sendo originado de uma m\u00e1quina Linux, Windows, macOS ou de dispositivos embarcados \u2014 informa\u00e7\u00e3o crucial para avaliar a intencionalidade e o perfil da amea\u00e7a.<\/p>\n

    A an\u00e1lise temporal \u00e9 implementada atrav\u00e9s de uma m\u00e1quina de estados por IP de origem, mantida em mem\u00f3ria pelo daemon principal. Cada pacote suspeito de um determinado IP incrementa contadores espec\u00edficos por tipo de evento \u2014 SYN packets<\/strong>, UDP probes<\/strong>, connection attempts<\/strong> \u2014 e atualiza timestamps. O Psad aplica ent\u00e3o thresholds configur\u00e1veis para determinar se o comportamento acumulado constitui um port scan. Os par\u00e2metros cr\u00edticos incluem PORT_LIMIT<\/strong> (n\u00famero m\u00ednimo de portas distintas acessadas), SCAN_THRESHOLD<\/strong> (n\u00famero de eventos suspeitos no intervalo SCAN_TIMEOUT) e TCP_STRONG_SCAN<\/strong> (threshold para scans TCP agressivos). Quando m\u00faltiplos thresholds s\u00e3o excedidos simultaneamente, o Psad eleva o danger level<\/strong> do IP de origem em uma escala de 1 a 5.<\/p>\n

    Um diferencial t\u00e9cnico importante do Psad \u00e9 sua capacidade de detectar scans distribu\u00eddos<\/strong> \u2014 cen\u00e1rios onde m\u00faltiplos IPs de origem cooperam para realizar um reconhecimento fragmentado, cada um enviando poucos pacotes para evitar detec\u00e7\u00e3o individual. Embora essa detec\u00e7\u00e3o seja mais limitada que em solu\u00e7\u00f5es corporativas de IDS como Snort ou Suricata, o Psad implementa correla\u00e7\u00e3o entre IPs de origem que compartilham padr\u00f5es similares de scan \u2014 mesma sequ\u00eancia de portas, timing similar e fingerprints de SO id\u00eanticos \u2014 e gera alertas de “poss\u00edvel scan coordenado” quando identifica esses padr\u00f5es. Na JRT Technology Solutions<\/strong>, complementamos essa capacidade integrando os alertas do Psad com an\u00e1lise comportamental via Wazuh, criando uma camada adicional de correla\u00e7\u00e3o que detecta campanhas de reconhecimento distribu\u00eddo com maior precis\u00e3o.<\/p>\n

    O Psad tamb\u00e9m implementa detec\u00e7\u00e3o espec\u00edfica para scans de fingerprinting de sistema operacional<\/strong>, como aqueles realizados pelo Nmap com a flag -O<\/em>. Esses scans se caracterizam por enviar pacotes com combina\u00e7\u00f5es n\u00e3o usuais de flags TCP \u2014 como pacotes SYN+FIN, FIN+URG+PSH, ou segmentos com flags reservadas ativas \u2014 que dificilmente ocorrem em tr\u00e1fego leg\u00edtimo. O Psad mant\u00e9m assinaturas para esses padr\u00f5es e, quando detecta m\u00faltiplos pacotes an\u00f4malos do mesmo IP de origem, classifica o evento como OS fingerprinting attempt<\/strong> com danger level m\u00ednimo de 3, independentemente do n\u00famero de portas varridas. Essa sensibilidade a padr\u00f5es qualitativos, n\u00e3o apenas quantitativos, \u00e9 o que torna o conjunto Shorewall Psad firewall<\/strong> t\u00e3o eficaz contra t\u00e9cnicas avan\u00e7adas de reconhecimento.<\/p>\n

    Integra\u00e7\u00e3o do Shorewall Psad firewall com iptables e logs do kernel<\/h3>\n

    A integra\u00e7\u00e3o t\u00e9cnica entre Shorewall, iptables e o sistema de logging do kernel \u00e9 o alicerce sobre o qual o Shorewall Psad firewall<\/strong> constr\u00f3i sua efic\u00e1cia. Sem uma configura\u00e7\u00e3o adequada de logging nas regras de iptables, o Psad simplesmente n\u00e3o tem dados para analisar \u2014 e sem uma organiza\u00e7\u00e3o sem\u00e2ntica das chains pelo Shorewall, esses logs carecem do contexto necess\u00e1rio para uma an\u00e1lise precisa. Compreender essa cadeia de depend\u00eancias \u00e9 fundamental para administradores que desejam extrair o m\u00e1ximo da solu\u00e7\u00e3o.<\/p>\n

    O Shorewall, por padr\u00e3o, gera regras de iptables que incluem targets de LOG para todo tr\u00e1fego que n\u00e3o corresponde a nenhuma regra expl\u00edcita de permiss\u00e3o \u2014 os chamados “pacotes n\u00e3o correspondidos”. Esses logs s\u00e3o gerados com prefixos que identificam a chain de origem e a pol\u00edtica violada, como Shorewall:net2dmz:DROP:<\/strong> ou Shorewall:loc2net:REJECT:<\/strong>. O Psad \u00e9 configurado, atrav\u00e9s do par\u00e2metro IPT_SYSLOG_FILE<\/strong> (geralmente apontando para \/var\/log\/syslog<\/em> ou \/var\/log\/kern.log<\/em>), para monitorar continuamente esses arquivos e fazer parsing das entradas que correspondem aos prefixos configurados em PSAD_DROP_LOG<\/strong> e PSAD_REJECT_LOG<\/strong>.<\/p>\n

    Um aspecto t\u00e9cnico frequentemente negligenciado \u00e9 o impacto da configura\u00e7\u00e3o de rate limiting<\/strong> do iptables nos logs. O m\u00f3dulo limit<\/strong> do iptables permite controlar a frequ\u00eancia com que pacotes consecutivos geram entradas de log \u2014 por exemplo, -m limit –limit 5\/min –limit-burst 10<\/em> limita a gera\u00e7\u00e3o de logs a 5 entradas por minuto, com burst inicial de 10. Embora isso seja \u00fatil para evitar inunda\u00e7\u00e3o de logs em ataques volum\u00e9tricos, configura\u00e7\u00f5es muito restritivas podem mascarar port scans que dependem justamente do volume de pacotes para detec\u00e7\u00e3o. Na JRT Technology Solutions<\/strong>, recomendamos um limite de 20\/min com burst de 30<\/strong> para ambientes de produ\u00e7\u00e3o t\u00edpicos, ajustando conforme a capacidade de I\/O do sistema e o volume de tr\u00e1fego leg\u00edtimo.<\/p>\n

    O Psad tamb\u00e9m suporta integra\u00e7\u00e3o com ulogd<\/strong> (userspace logging daemon) como alternativa ao syslog tradicional, oferecendo vantagens como logging em banco de dados (MySQL\/PostgreSQL) e formato de sa\u00edda mais estruturado. Para ambientes de alta disponibilidade ou com grande volume de eventos, configuramos o ulogd2 com output para banco de dados e alimentamos o Psad atrav\u00e9s do par\u00e2metro ULOGD_CONFIG<\/strong>, o que permite an\u00e1lises retrospectivas mais eficientes e integra\u00e7\u00e3o com ferramentas de BI para visualiza\u00e7\u00e3o de tend\u00eancias de ataque ao longo do tempo. Essa abordagem \u00e9 particularmente \u00fatil em ambientes regulados \u2014 como institui\u00e7\u00f5es financeiras e healthcare \u2014 onde a rastreabilidade e auditoria de eventos de seguran\u00e7a s\u00e3o requisitos de compliance.<\/p>\n

    Para ambientes corporativos que utilizam o Shorewall Psad firewall<\/strong> como parte de um stack de seguran\u00e7a mais amplo, a integra\u00e7\u00e3o com SIEM \u00e9 um multiplicador de valor. Configuramos o Psad para gerar alertas em formato syslog estruturado (com ALERTING_METHODS=syslog<\/em>) e utilizamos agentes como Filebeat ou rsyslog para encaminhar esses eventos ao SIEM centralizado. Os alertas do Psad \u2014 que incluem o danger level, tipo de scan detectado, fingerprint de SO e timestamp \u2014 s\u00e3o ent\u00e3o correlacionados com eventos de outros sensores, como IDS de rede, logs de aplica\u00e7\u00e3o e eventos de autentica\u00e7\u00e3o, criando um panorama unificado de amea\u00e7as que permite resposta coordenada a incidentes.<\/p>\n

    Resposta ativa a amea\u00e7as: bloqueio din\u00e2mico com Shorewall Psad firewall<\/h3>\n

    Uma das funcionalidades mais poderosas do Shorewall Psad firewall<\/strong> \u00e9 a capacidade de resposta ativa atrav\u00e9s do m\u00f3dulo psad_autoblk<\/strong>, que transforma a detec\u00e7\u00e3o passiva em a\u00e7\u00e3o concreta de bloqueio sem interven\u00e7\u00e3o humana. Quando um IP de origem atinge o danger level configurado em AUTO<\/p>\n

    \n

    Gostou do conte\u00fado? Fale com nossos especialistas!<\/p>\n

    A JRT Technology Solutions est\u00e1 pronta para implementar, configurar e dar suporte \u00e0s tecnologias abordadas neste artigo.<\/p>\n


    \n <\/svg>
    \n Falar no WhatsApp
    \n <\/a>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Descubra como configurar o Shorewall Psad para uma detec\u00e7\u00e3o avan\u00e7ada de port scan no Linux e proteja seu servidor de amea\u00e7as. Clique e saiba mais!<\/p>\n","protected":false},"author":1,"featured_media":1183,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"iawp_total_views":1,"footnotes":""},"categories":[50],"tags":[2020,550,5,408,22,407],"class_list":["post-1184","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-firewall","tag-configuracao-shorewall","tag-deteccao-de-port-scan","tag-firewall-linux","tag-psad","tag-seguranca-de-rede","tag-shorewall"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t