portok engedelyezese/blokkolasa

Security-all

Sziasztok, csak egy egyszeru kerdesem lenne, gondolom gyorsan kapok ra valaszt: miert kell blokkolni a portokat es csak azokat engedelyezni amiket valoban hasznalunk?(hujenek tunik a kerdes de megis felteszem , mert nem tudom ra a valaszt)

  • 3067 megtekintés

( raron | 2010. 04. 01., cs – 21:49 )

Hogy ne tudjon "bárki" nézelődni.
Ha például böngészel akkor keletkezik egy kimenő csomag, jó esetben a tűzfalad csak az erre a csomagra jövő válaszokat engedi be.

mondjuk, ha win-t használsz ott rögtön ott vannak a netbios portjai (fáj- és nyomtatómegosztás, 137-139) és nem valószínű, hogy szeretnéd, ha ezt az internetről valaki elérné...

Ertem, koszonom a gyors valaszt. Tehat ha pl. iptables-el letiltom az osszes bejovo kapcsolodast es csak azokat engedelyezem amik egy en altalam kezdemenyezett kapcsolatra a valaszok akkor azzal le van vedve a gepem? Akkor miert kell a bentrol kimeno csomagokat is szurni, csak bizonyos portokat engedelyezni?
(ha tudsz valami oldalt ahol elmelyedhetek a temaban azt megkoszonnem)

Az Linux iptables zsebkönyv c. könyv nagyon jó.

A kimenő csomagokat azért szokták szűrni, mert
1. Nem akarod hogy a felhasználó kifele SMTP-zen (pl.: suli, munkahely, stb). Ami szokott kelleni: 80/tcp(http) 443/tcp(https) 53/tcp/udp(dns)
2. lehet a kimenő csomagokban kulcsszavakra keresni, vagy egyes oldalakat tiltani. (pl.: webmail-ek, torrentoldalak, stb.)

Ha böngészővel felmész egy veboldalra, akkor (dns feloldás nélkül)
Böngésző(valami véletlenszerű magas pont mondjuk 65123) => webszerver(80-as port)
iptables látja, hogy kifele küdtél csomagot, esetleg le-NAT-olja.
webserver(80) => böngésző(65123)
a tűzfal látja, hogy ez a csomag az előzőre a válasz, ezért beengedi. Persze csak akkor ha megmondod neki, ez az ESTHABLISHED. Létezik a RELATED, ami a meglévő kapcsolatokon alapulú új kapcsolat csomagjait engedi be (pl.: ftp ilyen protokoll)

Nézz körül a
TCP
OSI modell
környékén.

Mondjuk, ha van egy suli, ott megy egy Enapló, meg az iskola honlapja két külön webszerveren, ugye akkor nem lenne jó ha az enaplót az internet felől bárki láthatná, de a suli honlpjának bárki számára elérhetőnek kell lennie.

De pl. iptables-el lehet olyat csinálni, hogy mp-enként csak 5 TCP SYN csomagot engedsz be, meg ezer egy érdekes dolgot.

( csizmadia_zoltan v | 2010. 04. 01., cs – 21:49 )

Szervusz !

Szerintem (amatőr vagyok) vannak bizonyos gyenge pontok a portok - mint szerver funkciók esetén, pl olyan közismert szolgáltatások, mint FTP, MAIL, SSH, SSL. - minél kevesebb sérülékeny pontot nyújtsunk.

Másrészt pl belső hálózaton nyilvános portok külső használó számára ne legyen elérhető.

Abszolút kezdő koromban Mandrake 8.2-es első "szerveremen" először SMB-t, majd később SSL-t törték meg.

Bizonyos nyomok megmaradtak, de ezek nem a közvetlen behatolás nyomai, így pár dolgot tanulmányozhattam.

CSZ