Изпечатай

[dvasilev]

@freedj: Както казаха и други, това което го искаш няма как да стане. Просто го приеми.
Нещо, което обаче може да направиш допълнително е да се мъчиш да отгатнеш дали SYN пакетите са от сканираща програма. При по-глупавите опити за сканиране, е характерно, че от един и същ адрес идват доста SYN пакети и ако техния брой за единица време мина над някакъв праг, може да започнеш да ги филтрираш. Ако се интересуваш как може да направиш такова нещо виж тук. Лошата новина за теб е, че на nmap може да му се указва време между отделните опити и мисля, че всеки, който не иска да се набива на очи, би разредил времето между тестването на отделните портове.

[freedj]

Благодаря ви. Приех, че няма да стане затова просто филтрирах повечето портове а други ги затворих от външни мрежи.

П.П
Един оделен въпрос, може би трябва нова тема, дано модераторите не ми се сърдят. Има ли начин с iptables когато примерно някой ме удря със SYN флууд да го записва в отделен лог. Сега записва в syslog, но това малко не ме устройва, има ли възможност?

[laskov]

Нещо близо до темата: http://www.linux-bg.org/forum/index.php?topic=14244.msg82562#msg82562

[chen_dzen]

Как искаш на WAN interface да ти дава че имаш отворени портове . Трябва да ги пренасочиш към вътрешен хост или да си пуснал Remote Managment на рутера . А и някои доставчици филтрират портове .
 
П.С IPTABLES няма как да разбере SYN пакета истински ли е или от скенер . Още повече ,че nmap има опция -stealth 

[freedj]

Премирих се вече, че неможе. За втория ми въпрос има ли шанс?

[p3tzata_]

Премирих се вече, че неможе. За втория ми въпрос има ли шанс?

laskov ти отговори на въпроса, остава само да го прочетеш...

[freedj]

Не ме разбрахте по-главния въпрос в темата се оправих имах един страничен който гласи:

1. Има ли начин с iptables когато примерно някой ме удря със SYN флууд да го записва в отделен лог. Сега записва в syslog, но това малко не ме устройва, има ли възможност?

[laskov]

iptables -A INPUT -p tcp -s X.X.X.0/24 --syn --dport 25  -m recent --name bad_smtp --rcheck --seconds 60 -j DROP
iptables -A INPUT -p tcp -s X.X.X.0/24 --syn --dport 25  -m recent --name bad_smtp --set -j ACCEPT

Тези два реда правят следното:
1. Идва SYN пакет от някакъв IP адрес към нашия 25-ти порт. iptables проверява в списъка bad_smtp дали през последните 60 секунди от това IP е бил получен такъв пакет и ако да, DROP-ва пакета
2. Ако не, пропуска пакета и постава IP-то в списъка bad_smtp

Разбира се, за твоите цели ще трябва да го редактираш. Трябва да имаш компилиран модула recent.

Моля някой ако реши, да го обясни по-добре. Ако държиш на лог файла, копни тук syslog.conf и 1-2 от тези редове от syslog.

[freedj]

Пак не ме разбра, сложил съм защити от SYN и темподобни в момента логвам атаките по следния начин:

Код:

iptables -A syn-flood -m limit --limit 1/sec -j LOG --log-prefix "SYN FLOOD " --log-tcp-sequence --log-tcp-options --log-ip-options --log-level 4

И те се логват в:

Код:

/var/log/iptables.log

Мисълта ми беше дали примерно има начин да се логват в друг файл с име:

Код:

/var/log/synflood.log

[laskov]

man iptables

   LOG
       Turn on kernel logging of matching packets.  When this option is set for a rule,  the  Linux
       kernel  will print some information on all matching packets (like most IP header fields) via
       the kernel log (where it can be read with dmesg or syslogd().  This is a  "non-terminating
       target",  i.e. rule traversal continues at the next rule.  So if you want to LOG the packets
       you refuse, use two separate rules with the same matching criteria, first using  target  LOG
       then DROP (or REJECT).

       --log-level level
              Level of logging (numeric or see syslog.conf(5)).

и обърни внимание на последния ред от цитата.

ПС: Какво ще правиш после с този файл?

[freedj]

Добре задавам в /etc/syslog.conf

Код:

syn.flood                       /var/log/synflood.log

Тогава какъв левал, ще трябва да се запише при правилото?