Linux Centos上的端口扫描临时块

LFD是CSF防火墙的“login失败守护程序”，它会阻止login尝试失败的IP。 从http://www.configserver.com/cp/csf.html ：

To complement the ConfigServer Firewall (csf), we have developed a Login Failure Daemon (lfd) process that runs all the time and periodically (every X seconds) scans the latest log file entries for login attempts against your server that continually fail within a short period of time. Such attempts are often called "Brute-force attacks" and the daemon process responds very quickly to such patterns and blocks offending IP's quickly. Other similar products run every x minutes via cron and as such often miss break-in attempts until after they've finished, our daemon eliminates such long waits and makes it much more effective at performing its task.

从您的电子邮件通知：

 DPT=587 DPT=587 

只要LFD没有指定其他目标端口，这似乎不是一个端口扫描。 端口587是SMTP邮件提交端口。 他似乎试图login到您的SMTP，但login失败，并且由于login尝试失败，LFD阻止了他的IP。 也许这是由他的电子邮件客户端指定的错误密码造成的。

有一些select不太可能：

（2）Ping不被视为端口扫描。 有一些pipe理员喜欢configuration他们的机器来完全忽略ping，但是没有我知道的防火墙认为ping是端口扫描。

（4）Web应用程序执行端口扫描，但只扫描使用应用程序的主机，以便向其报告有关此防火墙的状态。 我不认为任何networking应用程序将允许一个预制不同目的地的端口扫描。

（5）我没有防火墙知道在安装的机器以外的机器上执行端口扫描。

（6）路由器也一样。

。 在进行任何技术分析之前，最好的办法可能是询问客户他做了什么。 他可能已经阅读了关于nmap的教程，并决定检查你的服务器。 如果他不知道什么可能会引起防火墙的反应，那么他应该是检查笔记本电脑和networking安全的人。 在我看来，在服务器端可以做的最好的事情是运行一个networking嗅探工具（比如tshark ），但是通过这样做，唯一可以获得的附加信息是正确扫描的端口。 您的防火墙日志中已经有了滥用IP地址的情况，但您无法从中判断客户端是自己做的，计算机上是否有病毒，还是来自同一内部networking的其他人。