Från webbloggar till WAN-monitorering

Knockwatch började som ett sätt att visualisera trafik mot min webbserver. Apache-loggarna visade automatiserade requests, scanners och försök mot vanliga endpoints – men bara trafik som faktiskt nådde webbservern.

Jag ville se mer.

Därför byggde jag ut Knockwatch med en separat WAN-sensor. En Raspberry Pi analyserar trafik från en speglad port på switchen framför brandväggen. På så sätt kan jag observera inkommande trafik redan på WAN-sidan, även när den aldrig når någon tjänst på servern.

Observationerna skickas till ett Python-API och lagras i MySQL. Knockwatch kan nu visa bland annat vilka portar som sonderas mest, vilka länder trafiken geolokaliseras till och vilka käll-IP-adresser som söker av stora delar av portintervallet.

Ett tydligt exempel är en källa som registrerats över 2 200 gånger mot nästan lika många olika destinationportar. Det mönstret är betydligt mer intressant än att bara veta att en enskild anslutning träffade nätverket.

Nästa steg är att komplettera de egna observationerna med extern IP-reputation. Tanken är inte att automatiskt kalla varje scanner för en angripare, utan att jämföra det Knockwatch själv observerar med information från externa threat-intelligence-källor.