Scanlogd debe ser lo que está buscando . Sin embargo, esto está orientado a TCP.
scanlogd detecta las exploraciones de puertos y escribe una línea por exploración a través de
mecanismo syslog (3). Si una dirección de origen envía múltiples paquetes a
diferentes puertos en poco tiempo, el evento será registrado.
Para la mayoría de los escaneos NMap, Snort y p0f son IDS capaces. Cómo detectar el escaneo NMAP usando Snort es una guía sobre cómo configurar Snort para detectar: nmap -sP -p 22 192.168.1.105 entre otras exploraciones.
Ping Scan [-sP] Este tipo de escaneo enumera los hosts dentro del especificado
Rango que respondió a un ping. Te permite detectar cuales
Las computadoras están en línea, en lugar de los puertos que están abiertos. Cuatro metodos
existe dentro de Nmap para barrido de ping.
El primer método envía un paquete de SOLICITUD DE ECHO DE ICMP (solicitud de ping) a
El sistema de destino. Si se recibe una RESPUESTA ECHO DE ICMP, el sistema
está activo, y los paquetes ICMP no están bloqueados. Si no hay respuesta a
el ping de ICMP, Nmap intentará un "ping de TCP", para determinar si ICMP
está bloqueado, o si el host realmente no está en línea.
Un TCP Ping envía un paquete SYN o ACK a cualquier puerto (80 es el
predeterminado) en el sistema remoto. Si se devuelve RST, o un SYN / ACK, entonces
El sistema remoto está en línea. Si el sistema remoto no responde,
o está fuera de línea, o el puerto elegido se filtra, y por lo tanto no
respondiendo a cualquier cosa.
Cuando ejecuta un escaneo de ping de Nmap como root, el valor predeterminado es usar el ICMP
y los métodos ACK. Los usuarios no root utilizarán el método connect (), que
intenta conectarse a una máquina, esperando una respuesta y rasgado
abajo de la conexión tan pronto como se haya establecido (similar a la
Método SYN / ACK para usuarios root, pero este establece un TCP completo
conexión!)
El tipo de escaneo ICMP se puede desactivar configurando -P0 (es decir, cero, no
mayúscula o).
Source
¿Cuál es la forma más efectiva de detectar las exploraciones de nmap habla más sobre esto.