Делаем систему пуленепробиваемой!

Shaman (aka_shaman@mail.ru)

Xakep, номер #058, стр. 058-078-5

#!/bin/sh

IPTABLES=/usr/local/sbin/iptables

# Для начала очищаем цепочки от старых правил

$IPTABLES -F INPUT

$IPTABLES -F OUTPUT

$IPTABLES -F FORWARD

# А зачем нужна эта строка - поймешь дальше

/etc/rc.d/rc.firewall-blocked

# End /etc/rc.d/rc.firewall

Этот скрипт очищает цепочки от старых правил и подгружает файл rc.firewall-blocked. Существует множество документов по пакетным фильтрам. Один из лучших - книга Р. Зиглера "Брандмауэры в Linux". На русском языке она есть только для ipchains, в английском варианте есть вторая редакция - по iptables. Защититься от сканирования портов и от последующих атак нам поможет IDS. IDS - Intrusion Detective System - система обнаружения атак в реальном времени. При коннекте IDS рассматривает трафик на предмет вредоносных действий и в случае их обнаружения принимает определенные меры.

Скачиваем: www.psionic.com/products/.

Устанавливаем:

make linux &&

make install

Теперь правим конфигурационный файл /usr/local/psionic/portsenrty/portsentry.conf. Будем запускать portsentry в расширенном режиме обнаружения скрытого сканирования, поэтому в секции Port Configuration ничего редактировать не надо. В секции Ignore Options исправь:

BLOCK_UDP="2"

BLOCK_TCP="2"

Это значит, что при обнаружении сканирования будет выполнена внешняя команда, поэтому в секциях Dropping Routes и TCP Wrappers все закомментируй, а в секции External Command пиши:

KILL_RUN_CMD="/usr/local/psionic/portsentry/add_rule $TARGET$"

Теперь создай файл /usr/local/psionic/portsentry/add_rule и пиши в него:

#!/bin/sh

echo "/usr/local/sbin/iptables -I INPUT -s" $1 " -j DROP" >> /etc/rc.d/rc.firewall-blocked

/etc/rc.d/rc.firewall

Этот скрипт будет добавлять запрещающие правила в файл rc.firewall-blocked и перезапускать брандмауэр. PortSentry - одна из самых простых IDS, однако это не значит, что она неэффективна. У меня она ловила порядка 10 попыток сканирования с разных ip в сутки.

Заключение

Описанные программы позволяют существенно уменьшить вероятность взлома системы и установку бэкдоров. Не забывай вовремя их обновлять и следи за bug-track'ом. Будут вопросы – мыль.