I.   Présentation

Possédant un serveur hébergé Online.net (mais peu importe) avec Proxmox dessus, je voulais faire ressortir le nombre de scan de ports dessus et afficher quelques statistiques.
Les statistiques porteront sur un « top » de ports les plus bloqués par le pare-feu de proxmox.
Tous les jours, mon script tourne pour lire le fichier delog du pare-feu et stocke dans un autre fichier les ports bloqués et le nombre de fois qu’il le sont.

II.   Ports bloqués

    

 

 

III.   IPs bloquées

 

 

IV.   Description des ports

 

Numéro de ports Protocole Description
21 TCP Utilisé par les serveurs FTP (proftpd)
22 TCP Utilisé par les serveurs SSH (sshd)
23 TCP Utilisé par les serveurs TELNET (telnetd)
80 TCP Utilisé par les serveurs WEB (nginx, apache,…)
1433 TCP Utilisé par les serveurs VPN (OpenVPN)
3306 TCP Utilisé par les serveurs SQL (MariaDB, Mysql, ..)
3389 TCP Utilisé par les serveurs RDP (Bureau à distance)
5060 UDP Utilisé par les serveurs de TOIP (protocole SIP asterisk)
8080 TCP Utilisé par les serveurs PROXY (squid, pve-proxy, …)
45000 UDP/TCP Utilisé par les serveurs TORRENT (rutrrent, transmission, …)

 

V.   Scripts

 

Comme demandé et qu’on est la pour partager 😛 , je montre ici les scripts qui me servent pour faire les statistiques. Ce sont des scripts fais très rapidement qui sont loin d’être optimaux et qui sont sans aucun doute à enrichir.

Voici le script pour lister les ports bloqués, avec une différenciation TCP / UDP:

Pour le télécharger:  Proxmox_list_port_block

 

Explication:  Ce qui nous intéresse dans le c’est cette ligne:

cat /var/log/pve-firewall.log | grep =UDP | cut -d= -f14 | awk ‘{print $1}’ | sort | uniq -c | sort -nr | head -n 30 >> $path

 

arguments Signification
grep =UDP recherche le texte « =UDP »
cut -d= -f14 Extrait le contenu, directement après le caractère « = » et seulement le 14ème champs
awk ‘{print$1}’ affiche le 1er champs
sort trie
uniq -c regroupe sans doublon et en affichant le nombre de doublon
sort -nr trie numérique (le nombre de doublon précédent) et tri ensuite dans l’ordre inverse (le plus grand en premier)
head -n 30 n’affiche seulement que les 30 premiers résultat
>>$path ajoute (mais n’efface pas) dans le fichier de log définie dans la variable $path

 

Et celui qui me sert à lister les IPs bloquées:

Pour le télécharger: proxmox_list_ip_block

Explication: Même principe que pour le script précédent

 

Ensuite il suffit de lancer la commande: crontab -e sur notre Proxmox et d’ajouter les lignes suivantes:

59 23 * * * /root/scripts_cron/list_ip_block.sh
59 23 * * * /root/scripts_cron/list_port_block.sh

PS: remplacer le chemin par celui où se trouve votre script.

Dans cette configuration le cron va déclencher à 23H59 tous les jours nos scripts.