Zapora (iptables)

Andyk · Post autor: **Andyk** » 05 sierpnia 2012, 21:35

No, ale ja wiem czy blokowanie po dużej liczbie wysyłanych pakietów można nazwać wykrywaniem? Można zrobić wiele reguł na różne znane śmieci, które np. wiadomo na jakich portach działają, ale to nie będzie ochrona dynamiczna, więc nie nazwałbym tego ochroną antywirusową ani wykrywaniem.

Bastian · Post autor: **Bastian** » 05 sierpnia 2012, 23:38

Czyli jednak dobrze myślałem. Kolega pyta o wykrywanie złośliwego kodu.

Andyk, już napisałem, że nie zrobisz tego z iptables. W swoich założeniach firewalle nie do tego służą. Rozwiązanie już Tobie podsunąłem. icap to protokół stworzony dokładnie do takiego typu filtrowania. Działa on w połączeniu z transparentnym proxy. Iptables z odpowiednim modułem, nadaje się co najwyżej do pakietów pod kątem konkretnych (kilku zazwyczaj) treści. Nie musi to być kod. Może to być jakikolwiek ciąg znaków. Tak więc, żeby przefiltrować coś takiego musisz dysponować złośliwym kodem. To detekcji owego, służą programy antywirusowe, a w świecie serwerów, w darmowych, króluje ClamAV. Tak więc połączenie proxy, clamav i icap da to czego szukasz. Koniec kropka.

Andyk · Post autor: **Andyk** » 06 sierpnia 2012, 19:44

Ależ ja się z Tobą zgadzam. Ja tylko napisałem odpowiedź do poprzedniego posta że, iptables nie traktowałbym jako narzędzia do wykrywania czegokolwiek.

Bastian · Post autor: **Bastian** » 06 sierpnia 2012, 19:51

W kazdym razie daj znać jak już to zaimplementujesz. Sam jestem ciekaw jak sie sprawuje.

Andyk · Post autor: **Andyk** » 06 sierpnia 2012, 20:16

Ale ja nie mam zamiaru tego robić

, wolę poświęcić swój czas na coś innego. To autor posta wpadł ten pomysł.

Bastian · Post autor: **Bastian** » 07 sierpnia 2012, 22:23

Andyk pisze:Ale ja nie mam zamiaru tego robić , wolę poświęcić swój czas na coś innego. To autor posta wpadł ten pomysł.

Lol, wybacz pomyliłem jajko z kurą

dhapollo · Post autor: **dhapollo** » 26 sierpnia 2012, 21:09

Jeśli ustawię:

Kod: Zaznacz cały

iptables -P INPUT DROP

to niestety "pada mi internet". Na końcówkach wygląda jakby dnsy dawały ciała i pomimo otwarcia portu 53 (o ile pamiętam) to jest lipa.

Wymyśliłem sobie, że będzie limit jednoczesnych połączeń na interfejsie eth1 (od strony lan na porty poczty i pnp) 5 jednoczesnych połączeń jeśli więcej to ROP na 30 sekund powinno wystarczyć nieprawdaż?

Głównym celem było zablokowanie dostępu do serwera i sieci osobą nieposiadającym "autoryzacji". Dodatkowo jest serwer dhcp i dzieli na dwie podsieci filtrując po MAC adresach.

Jeśli ktoś "podsłucha" MAC i IP i ręcznie wpisze to uzyska połączenie z siecią ale raczej trudna sprawa bo DHCP sypie na różnych podsieciach.

Andyk - wygląd skryptu czy jego działanie. Wolałbym bałagan a żeby działało.