弱密码在Ubuntu上配置端口扫描检测功能，可以使用以下步骤：1. 安装并配置入侵检测系统，如OSSEC或Fail2Ban。2. 配置防火墙（如UFW或iptables），限制访问特定端口。3. 使用网络监控工具（如Snort或Suricata）监测异常流量。4. 定期查看日志文件，设置告警规则，确保及时响应。5. 更新系统和工具以抵御新威胁。
端口扫描是一种常见的网络攻击手段，攻击者通过探测目标主机的开放端口来搜集信息，以便为后续的攻击做准备。为了保护我们的服务器和网络资源，及时检测并响应端口扫描活动是十分必要的。弱密码将详细介绍在 Ubuntu 系统上如何配置端口扫描检测功能，以增强网络安全性。
一、了解端口扫描
端口扫描是攻击者通过发送数据包到特定的 IP 地址，并监视响应来确认开放的端口。通过这种方式，攻击者可以找出哪些服务在目标主机上运行，从而寻找漏洞进行攻击。及时检测端口扫描是保护网络安全的重要步骤。
二、安装必要工具
在 Ubuntu 上，进行端口扫描检测常用的工具包括 iptables 防火墙、fail2ban 以及一些网络监控工具。接下来我们将依次安装这些工具。
1. 安装 iptables
iptables 是 Linux 下的一个强大的防火墙工具，可以用来设置、维护和检查 Linux 内核中的 IP 包过滤规则。
在大多数 Ubuntu 系统中，iptables 默认情况下是已经安装的。可以使用以下命令检查 iptables 的状态：
sudo iptables -L
如果未安装或需要重新安装，可以运行以下命令：
sudo apt update
sudo apt install iptables
2. 安装 fail2ban
fail2ban 是一个自动化防护工具，可以监控日志文件并实时阻止恶意请求。它主要是通过添加 iptables 规则来实现这一点的。
安装fail2ban非常简单，只需运行以下命令：
sudo apt install fail2ban
安装完成后，fail2ban 所有的配置文件会位于 /etc/fail2ban/ 目录下。
3. 安装其他监控工具
除了上述工具，我们还可以使用一些网络监控工具，比如 nmap 或 netstat 来辅助检测端口扫描。
安装 nmap 的命令如下：
sudo apt install nmap
三、配置 iptables 进行端口扫描检测
我们首先需要利用 iptables 创建规则来监测和记录端口扫描行为。
1. 设置基本的 iptables 规则
打开终端并使用以下命令清除所有现有的 iptables 规则：
sudo iptables -F
然后我们可以设置默认的策略，将 INPUT 链的默认策略设置为 DROP（拒绝），这可以在未明确允许的情况下阻止所有进入流量：
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
2. 允许必要的流量
为了确保我们自己能够正常访问 SSH、HTTP、HTTPS 等必要服务，需要在 iptables 中允许特定流量。以下是一些常见的服务配置：
# 允许 SSH
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 允许 HTTP
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 允许 HTTPS
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# 允许已经建立的连接
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
3. 检测端口扫描
为了检测端口扫描，我们可以设置一个规则来记录潜在的扫描行为。往 INPUT 链中添加一个计数规则：
# 记录端口扫描尝试
sudo iptables -A INPUT -p tcp --dport 1:65535 -m conntrack --ctstate NEW -j LOG --log-prefix "Port Scan: " --log-level 4
以上规则会记录所有对 1 到 65535 端口的新连接请求，并在系统日志中添加相应的前缀。
4. 保存 iptables 规则
为了使我们的 iptables 规则在重启后依然有效，需要持久化这些规则。可以使用以下命令让 iptables 规则永久生效：
sudo sh -c "iptables-save > /etc/iptables/rules.v4"
四、配置 fail2ban
当fail2ban安装完成后，接下来需要配置它以便监控 iptables 日志并阻止潜在的端口扫描。
1. 创建 fail2ban 过滤器
在/etc/fail2ban/filter.d/目录下，创建一个新的过滤器文件，命名为 portscan.conf：
sudo nano /etc/fail2ban/filter.d/portscan.conf
添加以下内容：
[Definition]
failregex = Port Scan: \[.*\]: \d+
保存并退出编辑器。
2. 配置 fail2ban 监狱
在/etc/fail2ban/jail.local中添加端口扫描检测的监狱配置：
sudo nano /etc/fail2ban/jail.local
在文件中添加如下内容：
[portscan]
enabled = true
port = all
filter = portscan
logpath = /var/log/kern.log
maxretry = 5
bantime = 3600
这里maxretry 设置为 5 次，意味着如果在一个小时内有 5 次端口扫描，则会被 ban 一个小时。
3. 启动 fail2ban 服务
配置完成后，可以启动fail2ban服务：
sudo systemctl start fail2ban
并设置其开机自启：
sudo systemctl enable fail2ban
五、验证配置
完成上述配置后，我们需要验证端口扫描检测功能是否正常运行。
1. 生成端口扫描的测试
你可以使用nmap工具从另一个机器发送扫描请求。例如在另一台计算机上运行：
nmap -sS -p 1-1000 <你的 Ubuntu 服务器 IP>
2. 检查 iptables 的日志
使用以下命令查看是否有记录到日志中：
sudo tail -f /var/log/kern.log
3. 检查 fail2ban 的状态
你可以通过以下命令检查 fail2ban 的日志和状态：
sudo fail2ban-client status
sudo fail2ban-client status portsacn
六、总结
通过本文的步骤，我们在 Ubuntu 系统上成功配置了端口扫描检测功能。借助 iptables 与 fail2ban，我们不仅能够监测到端口扫描行为，还能自动阻止恶意请求，保障我们的网络安全。无论在企业环境还是个人使用中，及时检测与防范端口扫描都是保护网络安全的重要一环。希望本文能帮助您建立更安全的网络环境。
