LINUX.ORG.RU
Форум — Admin  

Определение сканирования портов, брутфорса и т.д. из локальной сети

 ,


0

1

Доброго дня.

Есть локальная сеть с доступом в интернет. Иногда пользователи локальной сети всякое странное делают, то порты сканируют у интернет-ресурсов, то брутфорсят и прочее.

Как на гейте с помощью iptables такую активность диагностировать ? Чтобы потом оповещение через nagios получить об этом.

← ad+squid не удается авторизоваться
mutt: Segmentation fault (core dumped) →
Ответ на: комментарий от kombrig

Я имел ввиду, что должно быть что-то с --limit --limit-burst и --hitcount... И просто логирование такого события сделать.

Zapekankin
() автор топика
Ответ на: комментарий от kombrig

Это я понимаю. Просто не знаю как это применить к исходящему брутфорсу и сканированию портов. Для FORWARD, но какие параметры должны быть (hitcount/limit/...), чтобы определить, что это аномальная активность, а не обычные действия.

Zapekankin
() автор топика
Ответ на: комментарий от Zapekankin

читай правила снорта. а еще есть конвертер правил снорта в iptables где и учтены все это лимиты

uspen ★★★★★
()

сканирование портов: iptables -m psd (по дефолту нету)
по поводу брута: тут все зависит от сервиса
если ссш, можно сделать лимит подключений в час с одного ип.
или fail2ban заюзать.

kam ★★
()
Ответ на: комментарий от kam

Спасибо. С ssh и rdp так и сделаю. При брутфорсе Wordpress и Joomla по string тогда можно будет логировать.

А как залогировать активности при исходящих пакетах больше 100 в секунду? Например для UDP. Я попробовал даже 500/s ставить, но видимо что-то делаю не так. 

iptables -A FORWARD -p udp -m limit --limit 500/s -j RETURN
iptables -A FORWARD -p udp -m state --state NEW -j LOG --log-prefix "iptables UDP case: " --log-level 7
Потому что после этих правил все равно вижу в syslog «iptables UDP case», но столько пакетов не ходит. Скорее всего я неправильно правило составил.

Zapekankin
() автор топика
Ответ на: комментарий от Zapekankin

Зачем RETURN в FORWARD? «Выше» FORWARD ничего нет, пакеты возвращать некуда. Не? Скорее всего, оно их тупо ACCEPT'ит. Хотя хз, проверять лень. Вооюще, man говорит:

RETURN means stop traversing this chain and resume at the next rule in the previous (calling) chain. If the end of a built-in chain is reached or a rule in a built-in chain with target RETURN is matched, the target specified by the chain policy determines the fate of the packet.

Если policy - ACCEPT, то правило их тупо пропускает. А второе правило у тебя вообще логгирует только свежеинициированные соединения. Со stateful файрволом вообще не получится считать пакеты, ибо он их (в установленных соединениях) сразу ACCEPT'ит. Можно извратиться со stateless, но это криво by design. Юзай snort, короче.

nbw ★★★
()
Последнее исправление: nbw (всего исправлений: 1)
Ответ на: комментарий от nbw

Спасибо, поправил правило. Да, в FORWARD не проходит это. В OUTPUT проходит... Только в OUTPUT не видно внутренний адрес клиента...

Zapekankin
() автор топика
Ответ на: комментарий от Zapekankin 
iptables -N udp-flood
iptables -A OUTPUT -p udp -j udp-flood
iptables -A udp-flood -p udp -m limit --limit 200/s -j RETURN
iptables -A udp-flood -j LOG --log-level 4 --log-prefix 'UDP-flood attempt: '
iptables -A udp-flood -j DROP
Zapekankin
() автор топика
Ответ на: комментарий от Zapekankin

Норкоман? В OUTPUT попадают только пакеты, исходящие из сущности самого шлюза. Всё, что прогоняется насквозь - FORWARD.

nbw ★★★
()
Ответ на: комментарий от Zapekankin

не хочется машинку нагружать этим.

Если не 486-й - не нагрузишь :D

nbw ★★★
()
Ответ на: комментарий от nbw

Точно н0ркоман похоже... Да, это не вариант совсем, это только для диагностики аномального UDP-траффика через шлюз...

Еще один страх, так это snort настраивать как еще одну сущность... :( Как-то вроде и надо, но совсем не хочется.

Я просто с исходящим брутфорсом сервисов (ssh, rdp) и брутфорсом wordpress/joomla разобрался. Со сканом портов тоже есть идея.

Но вот с UDP флудом как быть? Если с FORWARD не сработает...

Zapekankin
() автор топика

Хренью страдаешь. FORWARD полиси по умолчанию в DROP, затем правило для пакетов с LAN-интерфейса в REJECT, и натянуть squid. Ходоков приветствовать вопросом «А тебе зачем?»

berrywizard ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← ad+squid не удается авторизоваться
Admin
mutt: Segmentation fault (core dumped) →