Por que o scanlogd não detecta as varreduras de portas?

Question

Estou executando scanlogd para detectar verificações de portas. Eu observei o seguinte para gerar uma mensagem de log em /var/log/syslog .

• Quando eu uso o zenmap (nmap gui) para a porta varrer este sistema de outro computador na mesma sub-rede
• Usando nmap para varrer o sistema do loalhost usando destino como 127.0.0.1
• Usando nmap para varrer o sistema do loalhost usando o IP externo como o destino.
• Do meu telefone em uma sub-rede diferente na mesma organização (A University).

/var/log/syslog :

Aug 16 15:38:59 LIVE272675 scanlogd: 208.75.19.79 to 208.75.19.139 ports 22, 17500, 256, 135, 143, 113, 53, ..., ?????uxy, TOS 00 @14:57:26
Aug 16 15:40:20 LIVE272675 scanlogd: 127.0.0.1 to 127.0.0.1 ports 6010, 6011, 48153, 49681, 52321, 33819, 60076, ..., ?????uxy, TOS 00, TTL 64 @16:24:06
Aug 16 15:41:13 LIVE272675 scanlogd: 208.75.19.139 to 208.75.19.139 ports 80, 443, 993, 143, 256, 1720, 8080, 1723, ..., fSrpauxy, TOS 00, TTL 64 @20:41:13
Aug 16 15:49:07 LIVE272675 scanlogd: 208.75.243.17 to 208.75.19.139 ports 1, 2, 3, 7, 9, 11, ..., fSrpauxy, TOS 00, TTL 63 @20:49:07

No entanto, a verificação desta máquina a partir de uma máquina fora da rede da organização não gerou registros, mesmo que as verificações detectaram as portas que estavam abertas e os serviços que estavam sendo executados no sistema corretamente. Eu tenho algumas configurações erradas? Ou isso é algo esperado?

Por que scanlogd está faltando as verificações? Existe uma maneira de detectar todas as varreduras de portas?

    

Answer 1

aqui eles dizem o seguinte:

The goal of scanlogd is not to detect all port scans but instead to detect as many port scans as possible while still being reliable enough. Scanlogd writes one line per scan using the syslog(3) mechanism. It also logs when a source address sends many packets to several different ports in a short amount of time. Because scanlogd is only meant to detect scans, it is totally safe to run on your system. It must have access to raw IP packets to function, and can capture packets coming in and out of the system interface, or across the network to which the system is attached.