Linux Centos 上的端口扫描临时阻止

Question 1

LFD 是 CSF 防火墙的“登录失败守护进程”，它会阻止登录尝试失败的 IP。来自http://www.configserver.com/cp/csf.html：

To complement the ConfigServer Firewall (csf), we have developed a Login Failure Daemon (lfd) process that runs all the time and periodically (every X seconds) scans the latest log file entries for login attempts against your server that continually fail within a short period of time. Such attempts are often called "Brute-force attacks" and the daemon process responds very quickly to such patterns and blocks offending IP's quickly. Other similar products run every x minutes via cron and as such often miss break-in attempts until after they've finished, our daemon eliminates such long waits and makes it much more effective at performing its task.

来自您的电子邮件通知：

DPT=587
DPT=587

只要 LFD 没有指定其他目标端口，这似乎就不是端口扫描。端口 587 是 SMTP 邮件提交端口。他似乎试图登录您的 SMTP，但登录失败，并且由于几次登录尝试失败，LFD 阻止了他的 IP。这可能是由于他在电子邮件客户端中指定了错误的密码造成的。

Answer

LFD 是 CSF 防火墙的“登录失败守护进程”，它会阻止登录尝试失败的 IP。来自http://www.configserver.com/cp/csf.html：

To complement the ConfigServer Firewall (csf), we have developed a Login Failure Daemon (lfd) process that runs all the time and periodically (every X seconds) scans the latest log file entries for login attempts against your server that continually fail within a short period of time. Such attempts are often called "Brute-force attacks" and the daemon process responds very quickly to such patterns and blocks offending IP's quickly. Other similar products run every x minutes via cron and as such often miss break-in attempts until after they've finished, our daemon eliminates such long waits and makes it much more effective at performing its task.

来自您的电子邮件通知：

DPT=587
DPT=587

只要 LFD 没有指定其他目标端口，这似乎就不是端口扫描。端口 587 是 SMTP 邮件提交端口。他似乎试图登录您的 SMTP，但登录失败，并且由于几次登录尝试失败，LFD 阻止了他的 IP。这可能是由于他在电子邮件客户端中指定了错误的密码造成的。

Question 2

有一些选择不太可能：

(2) Ping 不被视为端口扫描。有些管理员喜欢将他们的机器配置为完全忽略 ping，但据我所知，没有防火墙会将 ping 视为端口扫描。

(4) 有些 Web 应用程序可以执行端口扫描，但它们仅扫描使用该应用程序的主机，以便向其提供有关此防火墙状态的报告。我认为没有任何 Web 应用程序允许对不同目的地执行端口扫描。

(5) 据我所知，没有防火墙可以在安装它的机器以外的机器上执行端口扫描。

（6）路由器也是如此。

在尝试任何技术分析之前，最好的办法可能是询问客户他做了什么。他可能已经阅读了有关nmap并决定检查你的服务器。如果他无法判断是什么导致了防火墙的这种反应，那么他应该检查他的笔记本电脑和网络的安全性。在我看来，你在服务器端能做的最好的事情就是运行网络嗅探工具（例如沙克)，但是，这样做您唯一能获得的附加信息就是究竟扫描了哪些端口。您的防火墙日志中已经有了滥用 IP 地址，但您无法从中判断该客户端是自己做的，还是计算机上的病毒做的，还是与该客户端来自同一内部网络的其他人做的。

Answer