IDS под микроскопом

Докучаев Дмитрий aka Forb

Хакер, номер #073, стр. 073-048-3

1. Установка

PortSentry не требует никаких зависимостей и довольно просто устанавливается. Для начала возьми дистрибутив утилиты по адресу http://prdownloads.sourceforge.net/sentrytools/portsentry-1.2.tar.gz?download. Затем распакуй архив и набери команду make linux (PortSentry может собираться и на других nix-like-системах). Затем инсталлируй проект командой make install. Если все сделано без ошибок, в каталоге /usr/local/psionic/portsentry появятся три файла: portsentry – непосредственно бинарник, portsentry.conf – конфиг IDS и portsentry.ignore – хосты для игнорирования.

Теперь открывай portsentry.conf и изменяй в нем ряд параметров. В первом разделе есть примеры TCP/UDP-портов, которые необходимо контролировать. Учти, что если порт уже открыт, он не должен присутствовать в этом списке – особенностью IDS является слежение за fake-портами, коннект на которые и определяет попытку сканирования.

Чуть ниже оговаривается путь к файлу с игнорируемыми хостами, на которые не распространяется действие IDS, путь к главному логу системы, а также к файлу, в котором записываются временно блокируемые адреса (файл обновляется при каждом запуске PortSentry).

Далее определяется политика IDS. По умолчанию блокируются все попытки сканирования UDP- и TCP-портов, но ты вправе это изменить. Если решил не менять – самое время определиться, каким способом будет осуществлено пресечение скана. Первый способ заключается в добавлении маршрута на несуществующий шлюз. При этом все обращения на машину перенаправятся в никуда и злоумышленник не получит ответа. Недостатком этого приема является тот факт, что после многочисленных попыток сканирования таблица маршрутов будет содержать множество фэйковых записей. Второй способ блокировки осуществляется с помощью файрвола. Исходя из установленного брандмауэра на сервере, раскомментируй нужную строку в конфигурационном файле и радуйся жизни. Теперь при попытке сканирования ip-адрес взломщика автоматически будет добавлен в цепь правил iptables или другого межсетевого экрана. Помимо этих двух способов, есть и третий: блокировка адреса путем записи правила в /etc/hosts.deny (применимо только для inetd/xinetd-сервисов). Самым последним параметром в конфе является строка, объявляющая баннер фэйкового порта. Здесь можно написать что угодно, например «weakly suid service» :).

2. Возможности

PortSentry умеет определять все виды сканирования портов, включая stealth-scan. Против других методов нападения IDS бессильна. Учитывая то, что сканирование портов применяется во многих случаях нападения, можно сделать вывод, что утилита действительно полезна. Кстати, помимо PortSentry существует программа LogSentry, которая анализирует логи IDS, приводя их в удобочитаемый формат.