Snort2PF :: automatikus blokkolás a 'nemkívánatos' hostokra

OpenBSD

OpenBSD felhasználóknak lehet hasznos a Snort2PF névre hallgató perl script, amely nem csinál mást, mint a értelmezi a Snort (nyílt forrású betörésérzékelő rendszer - IDS) "alert file"-ját, abból kiszűri a nemkívánatos (portscan) IP címeket és egy megadott időre blokkolja azokat az pf segítségével. Az idő letelte után törli a blokkoló szabályt.

A script-et megtalálod itt. Bővebben itt.

( asd | 2003. 07. 22., k – 09:41 )

errol mar beszeltunk a csatin :)

jol ki lehet tiltani vele az egesz vilagot :)

( trey | 2003. 07. 22., k – 10:02 )

valami hasonlot, de az sokkal gyengebb volt, ha jol emlekszem

Az is a scannelt portokat figyelte, de az a tcp wrappert hasznalta fel a blokkolashoz. A /etc/hosts.deny fileba irogatott.

( trey | 2003. 07. 22., k – 10:49 )

hat igen. ha spoofolt ip cimmel scannellek akkor barkit fel is tudsz jelenteni ;-) aztan kap 5 ev kotelet scannelesert. ez ellen nincs vedelem. :-)

Nem teljesen igy, mert portsentrynek konfigfajbol meg lehet mondani hogy mit csinaljon az adott hosttal, be tudja tenni /etc/hosts.deny-ba, tud ra egy tilto szabalyt alkotni a packetfilterbe (ipchains, iptables,ipf,ipfw tuti muxik igy, de sztem pf is), meg tudsz sajat scriptet is irni ami parameterkent kapja meg az IP-cimet. Szoval nem olyan rossz az a portsentry. A figyeleshez amugy tenyleg bindel egy csomo portra, emiatt azok egy nmap-nal nyitott portoknak latszanak (altalaban addig amig a portsentry ezt meg nem unja es ki nem tiltja az IP-det a fent emlitett modok egyikevel).

na ja. csak az nagy ellenkezes targya abban az idoben az volt, hogy a portsentry root joggal futott, hogy az ipchains rule-okat tudja machinalni. akkor elegendo egy b0f a portsentryben es maris root shell vanik tavolrol. Legalabbis a nagy guruk igy magyarzatak ki anno.

Lehet, de ezen a téren ne legyenek illúzióid: a snort portot ugyan nem nyit meg, de ott figyel a kártyán, és rajta keresztül is be lehet jutni a gépre szerencsétlen esetben. Mostanában volt is egy security patch a snortban hasonló probléma miatt. Ha ilyen kitiltási játékot akarsz csinálni (bár nem BSD), akkor próbálkozhatsz az fwlogwatch nevű programmal, az a kernel logját figyeli, és az iptables/ipchains logja alapján képes be is avatkozni. Persze én sem állítom, hogy jó dolog leDOSoltatni a géped :)))