The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

Методы сокрытия сервисов средствами iptables на примере sshd
Все действия в нижеизложенной статье выполнялись в debian 5, стандартными
средствами. Методы предназначены для сокрытия сервисов.

Ниже представлен простой шаблон правил:

   iptables -P INPUT DROP
   iptables -P OUTPUT DROP
   iptables -P FORWARD DROP

   iptables -A INPUT -p all -i lo -j ACCEPT
   iptables -A OUTPUT -p all -o lo -j ACCEPT

   ... ЗДЕСЬ НАШЕ ПРАВИЛО

   iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
   iptables -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
   iptables -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


1. Использование нестандартного диапазона tcp портов при установлении исходящего соединения.

Идея заключается в установлении нестандартных номеров портов (для исходящих
соединений) на КЛИЕНТСКОЙ СТОРОНЕ и фильтрации фаерволом на сервере при
установлении соединения по этим портам, тем самый делая наш sshd не видимым для
всех и доступным для нас :)

Реализуем идею на практике: По умолчанию диапазон портов в linux равен от 32768
до 61000 (значения в различных дистрибутивах могут отличатся)

посмотреть установленные значения можно командой

   cat /proc/sys/net/ipv4/ip_local_port_range
   32768 61000

изменяем на, к примеру 30000 32500 (на клиентской ОС linux)

   echo "30000 32500">/proc/sys/net/ipv4/ip_local_port_range

правило будет выглядеть так:

   iptables -A INPUT -p tcp --syn --sport 30000:32500 --dport 22 -j ACCEPT

Правило означает: входящие подключение по протоколу tcp с
флагами:FIN,SYN,RST,ACK/SYN с диапазона портов 30000:32500 на порт 22 разрешить


2. Фильтрация на основе ttl (время жизни пакета)

Здесь можно пойти несколькими путями:

1) Суть заключается в привязывании к числу маршрутизаторов, через которые
проходит пакет (ttl уменьшается на 1 при прохождении маршрутизатора), а так как
количество маршрутизаторов в разных сетях разное, то получаем значение ttl
равное числу по умолчанию минус число пройденных маршрутизаторов.

В данном варианте на клиентской ОС ничего менять не будем.
Выполним трассировку до нашего сервера, затем от значения ttl по умолчанию
отнимем количество хостов до нашего сервера (default ttl - traceroute) получим
значение ttl по которому будем принимать пакеты на стороне сервера.

В linux значение ttl по умолчанию равно 64, посмотреть можно командой

   cat /proc/sys/net/ipv4/ip_default_ttl
   64

Пример: выполняем трассировку

   tcptraceroute ya.ru
   ...
   9 ya.ru (93.158.134.8) [open] 556.844 ms 474.811 ms *

Всего в пути встретилось 9 узлов, значит к серверу придёт пакет с ttl=55 (64-9=55)
правило будет выглядеть так:

   iptables -A INPUT -p tcp --syn --dport 22 -m ttl --ttl-eq 55 -j ACCEPT

Правило означает: входящие подключение по протоколу tcp с
флагами:FIN,SYN,RST,ACK/SYN на порт 22 с временем жизни 55 разрешить.

Иногда бывает маршрут по которому проходящий пакет незначительно изменяется (к
примеру, провайдер пускает трафик по разным канал в целях балансировки),
следовательно и количество маршрутизаторов, по которым идёт пакет, тоже
меняется, тогда на всякий случай добавим к правилу ttl +2 и ttl -2

Правило будет выглядеть так:

   iptables -A INPUT -p tcp --syn --dport 22 -m ttl --ttl-gt 52 -m ttl --ttl-lt 58 -j ACCEPT

Правило означает: входящие подключение по протоколу tcp с
флагами:FIN,SYN,RST,ACK/SYN на порт 22 с временем жизни больше 52 и меньше 58
(match TTL > 52 TTL match TTL < 58) разрешить


2) Второй вариант является продолжением первого, основное отличие в
установлении на клиентской стороне нестандартного значения ttl, по которому на
сервере будем фильтровать пакеты.

Например ttl=80:

   echo "80" > /proc/sys/net/ipv4/ip_default_ttl

При количестве маршрутизаторов 12, составим правило с запасом которое будет выглядеть так:

   iptables -A INPUT -p tcp --syn --dport 22 -m ttl --ttl-gt 65 -m ttl --ttl-lt 70 -j ACCEPT

Правило означает: входящие подключение по протоколу tcp с
флагами:FIN,SYN,RST,ACK/SYN на порт 22 с временем жизни больше 65 и меньше 70
(match TTL > 65 TTL match TTL < 70) разрешить


3. Фильтрация на основе mss (максимальный размер сегмента)

Размер mss рассчитывается по формуле: mtu минус 40 байт
mtu по умолчанию обычно равно 1500 байтам, итого значение mss по умолчанию равно 1460 байт
Посмотреть mtu можно командой ifconfig

При фильтрации по mss на сервере, на клиентской стороне потребуется лишь
изменить mtu сетевого интерфейса (желательно немного уменьшить).

Реализуем идею на практике:
На клиентской стороне ставим mtu=1440

   ifconfig eth0 mtu 1440

На сервере правило будет выглядеть так:

   iptables -A INPUT -p tcp --syn --dport 22 -m tcpmss --mss 1400 -j ACCEPT

Правило означает: входящие подключение по протоколу tcp с
флагами:FIN,SYN,RST,ACK/SYN на порт 22 с размером mss=1400 разрешить

4. Защита от установки пользователям сервера исходящих соединений во внешний мир.

Например заблокируем возможность соединения пользователю с правами которого работает web сервер

   iptables -A INPUT -p tcp --syn --dport 80 -j ACCEPT
   iptables -A OUTPUT -p tcp -m owner --uid-owner 33 -m state --state NEW -j DROP

В первой цепочки разрешаем входящие соединения на 80 порт по протоколу tcp, во
второй запрещаем устанавливать новые исходящие соединения пользователю (uid 33)
с правами которого работает web сервер.
 
14.01.2010 , Автор: Владимир , Источник: http://linux-online-ru.blogspot.com... (доп. ссылка 1)
Ключи: iptables, limit, ttl, port, security / Лицензия: CC-BY
Раздел:    Корень / Администратору / Сетевая подсистема, маршрутизация / Пакетные фильтры и фаерволы / Пакетные фильтры в Linux: iptables, ipchains

Обсуждение [ Линейный режим | Показать все | RSS ]
 
  • 1.1, hhhkkjjjllllss, 14:02, 14/01/2010 [ответить] [смотреть все]
  • +/
    интересный подход, правда сразу ограничивает число администраторов, к-ые смогут подключиться например находясь в отпуске или за городом, используя смартфон с симбианом и портированным под него putty. сомневаюсь что симбиан позволит тюнить параметры работы стека tcp/ip.
    4 совет также весьма полезен, но к озвученной теме не относится.
    спасибо за информацию!
     
     
  • 2.3, mega4el, 14:14, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]
  • +/
    Кстати, действительно не понятно как подключаться к серверам с мобильных устройс... весь текст скрыт [показать] [показать ветку]
     
  • 2.6, User294, 15:43, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    После n8x0 или n900 от такого как симбиан при ремотной администрежке реально... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.17, prapor, 01:00, 15/01/2010 [^] [ответить] [смотреть все]  
  • +/
    Скажу честно задостали Ну хорошие девайсы, ну и что Сколько можно про них к... весь текст скрыт [показать]
     
  • 1.2, anonymous, 14:11, 14/01/2010 [ответить] [смотреть все]  
  • +/
    5-ым пунктом дописать port knocking, и вообще все шоколадно получится
     
     
  • 2.4, azure, 15:20, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    а как сие реализовать средствами iptables?
     
     
  • 3.7, Дмитрий, 16:25, 14/01/2010 [^] [ответить] [смотреть все]  
  • +/
    http main-server blogspot com 2009 04 port-knocking html Вот как это делаю я ... весь текст скрыт [показать]
     
     
  • 4.14, azure, 23:00, 14/01/2010 [^] [ответить] [смотреть все]  
  • +/
    почитал, понял спасибо у меня какбы порт-нокинг но с одним портом пускат толь... весь текст скрыт [показать]
     
     
  • 5.26, Аноним, 17:10, 15/01/2010 [^] [ответить] [смотреть все]  
  • +/
    гениально ... весь текст скрыт [показать]
     
     
  • 6.27, Andrey Mitrofanov, 17:27, 15/01/2010 [^] [ответить] [смотреть все]  
  • +/
    А ведь и Но _надо_ углУбить к стукам по условленным портвм добавиь условные... весь текст скрыт [показать]
     
  • 3.33, Basiley, 02:42, 20/01/2010 [^] [ответить] [смотреть все]  
  • +/
    fwsnort и форки
     
  • 3.34, Andrey Mitrofanov, 10:08, 20/01/2010 [^] [ответить] [смотреть все]  
  • +/
    См соседний совет -- с помощью -m recent Более дотошная реализация - по той ссы... весь текст скрыт [показать]
     
  • 1.5, User294, 15:33, 14/01/2010 [ответить] [смотреть все]  
  • +/
    Голь на выдумки хитра, за идею респект но с такими правилами потом можно резко соснуть при нужде порулить с чужого хоста абы где. Или через какойнить кривой нат или фаер. Что при всей оригинальности идей нивелирует практическую пользу во много раз. Мне больше нравится банальный порткнок - просто изобразить и легко затриггерить с практически любой конфигурации.
     
     
  • 2.16, adm, 23:47, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    основная идея и заключается в том чтобы сосали всякие левые со своими левыми хос... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.28, Zulu, 19:53, 15/01/2010 [^] [ответить] [смотреть все]  
  • +/
    И где putty настроен И контра стоит ... весь текст скрыт [показать]
     
  • 1.8, splat_pack, 18:16, 14/01/2010 [ответить] [смотреть все]  
  • +/
    вот велосипедостроители блин. перенос порта на нестандартный решает. За 3 года ни одного левого логина. Хотя вам же надо чтоб поэротичнее :)
     
     
  • 2.9, анонимус, 18:34, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Уменьшает логи неудачных попыток соединения, но взломоустойчивости не прибавляет... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.22, splat_pack, 10:30, 15/01/2010 [^] [ответить] [смотреть все]  
  • +/
    скажите пожалуйста кому вы нах р нужны вас ломать эта вся поэзия нужна только д... весь текст скрыт [показать]
     
  • 2.11, Warhead Wardick, 19:30, 14/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Великий Ыксперт по безопастности наверное о nmap и не слышал А ему по барабану ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.12, Andrey Mitrofanov, 19:45, 14/01/2010 [^] [ответить] [смотреть все]  
  • +/
    Нууу Тада порт-нокинг, с нехарактерными для nmap отпечатками А на характерны... весь текст скрыт [показать]
     
  • 1.13, Andrew, 20:05, 14/01/2010 [ответить] [смотреть все]  
  • +/
    1й пункт вызывает сомнения: если сделать диапазон портов слишком узким, то его не хватит для нормальной работы на клиенте, а если он будет достаточно широким, то что есть это ограничение, что нет...

    Мне, например, время от времени 2500 портов хватать не будет :)

    2й пункт не приемлем -- есть такое чудо человеческой мысли, как дин. маршрутизация и резервные каналы. Да и еще куча причин может быть, почему маршрут сменился.

    3й пункт требует установки гораздо более иного мту нежели 1440, т.к. это довольно стандартное значение для всяких там впн и т.п.

    ИМХО! Если уж так хочется закрыться, то лучше порт-нокинг+нестандартный порт

     
  • 1.15, adm, 23:41, 14/01/2010 [ответить] [смотреть все]  
  • +/
    спасибо пригодится
     
  • 1.18, ffsdmad, 02:26, 15/01/2010 [ответить] [смотреть все]  
  • +/
    спасибо, толково, свирепо
     
  • 1.19, Туве Янсон, 05:24, 15/01/2010 [ответить] [смотреть все]  
  • +/
    А в чем смысл резать по длине маршрута / длине пакета и т. п., если можно просто открыть только для нужных IP ?
    Это бред какой-то
     
  • 1.20, Pahanivo, 08:31, 15/01/2010 [ответить] [смотреть все]  
  • +/
    скока ж можно изобретать виласипэд? ))
    выделите вы одну машину в сети чисто под ssh (стурую, слабую, дешевую)
    уберите с нее все кроме самого ssh, повесте его на нестандартный порт
    прикрутите чтонибудь типа sshit
    и используйте эту машину как промежуточную для хождения на ssh по вашим сервакам (есно на серваках ограничить только заход с этой тачки)

    быстро, просто, безопасно

     
  • 1.21, chodorenko, 09:20, 15/01/2010 [ответить] [смотреть все]  
  • +/
    вот не понятно зачем изобретать реальные велосипеды с нестандартными портами и прочей ерундой, или например port knocking, опятьже с любого мобильного девайса очень геморно подключится есть простое и проверенное средство
    $ipt -A INPUT ! -i $internal_interface -p tcp --match state --state NEW --dport 22 --match recent --update --seconds 60 --hitcount 3 --name SSHT -j DROP
    $ipt -A INPUT  ! -i $internal_interface -p tcp --match state --state NEW --dport 22 --match recent --set --name SSHT -j ACCEPT
     
     
  • 2.23, qqq, 12:29, 15/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    вы прочитайте заголовок "Методы сокрытия сервисов средствами iptables на примере sshd", а вы написали правило  против брутфорса, которое кстати не поможет против ботнета
     
  • 2.24, qwer, 13:31, 15/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    И что сие правила делают?
     
  • 1.25, Аноним, 16:41, 15/01/2010 [ответить] [смотреть все]  
  • +/
    присоединяюсь к товарищам выше посмотришь как народ защищает свои сервера с пор... весь текст скрыт [показать]
     
     
  • 2.31, mr_gfd, 22:44, 16/01/2010 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    >присоединяюсь к товарищам выше. посмотришь как народ защищает свои сервера с порнухой
    >и плачешь от умиления. что, кто-то взломал ssh с авторизацией по
    >сертификатам? или открытые наружу порты вызывают чуйство оголенности? как все эти
    >танцы с бубном, которые к тому же сильно усложняют жизнь, помогут
    >против сниффа на первом перед этой тачкой маршрутизаторе?

    И таки да, mitm часто организовать при направленной атаке будет всяко надежнее, чем тыкаться в secure shell в лоб.

     
     
  • 3.32, Аноним, 01:40, 18/01/2010 [^] [ответить] [смотреть все]  
  • +1 +/
    mitm для ssh? ищи дурака.
     

    Ваш комментарий
    Имя:         
    E-Mail:      
    Заголовок:
    Текст:



      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor