Intrusion Prevention mit IPTables. Secure Linux Administration Conference, 6. / 7. Dec Dr. Michael Schwartzkopff. iptables_recent, SLAC 2007 / 1

Transkript

1 Intrusion Prevention mit IPTables Secure Linux Administration Conference, 6. / 7. Dec 2007 Dr. Michael Schwartzkopff iptables_recent, SLAC 2007 / 1

2 Übersicht Grundlagen Linux Firewalls: iptables Das recent Modul in iptables Einsatz von recent GUI: fwbuilder Gefahren beim Einsatz von recent externe Applikationen iptables_recent, SLAC 2007 / 2

3 iptables Üblicherweise beruhen Firewall Filter auf Entscheidungen auf Layer 3 des ISO stacks: Source IP, Destination IP, Source Port, Destination Port iptables -I INPUT -d mailsrv -p tcp --dport 25 -j ACCEPT Stateful Inspection erlaubt eine Filterung aufgrund des Zustandes einer Verbindung: TCP: SYN, SYN-ACK, ACK UDP: Anfrage -> Antwort iptables modul state iptables -I FORWARD -m state --state ESTABLISHED, RELATED -j ACCEPT iptables_recent, SLAC 2007 / 3

4 iptables kann noch viel mehr! man iptables zeigt eine Reihe von Modulen, die i. A. wenig bekannt sind. Je nach Distribution sind diese Module einkompiliert Das Modul recent verwaltet dynamische Listen von IP Adressen, gegen die in Regeln genutzt werden können. recent erlaubt es, eigene Listen von Adressen anzulegen, die ohne weitere Prüfung verworfen werden sollen. Zu jeder Adresse wird ein Zeitstempel abgelegt. iptables_recent, SLAC 2007 / 4

5 recent Parameter (I) --name name Name der Liste, die verwendet werden soll. --set Schreibt den SRC Adresse in die Liste. Falls die Adresse schon vorhanden war, wird der Zeitstempel aktualisiert. --rcheck Überprüft, ob die SRC Adresse in der Liste ist. --update wie --rcheck, erneuert aber den Zeitstempel. iptables_recent, SLAC 2007 / 5

6 recent Parameter (II) --seconds seconds In Zusammenhang mit --rcheck oder -update engt das die Suche auf die letzten seconds Sekunden ein. --hitcount hits In Zusammenhang mit --rcheck oder -update engt das die Suche auf eine entsprechende Anzahl von Paketen ein. Diese Option kann mit -seconds verwendet werden. --rttl In Zusammenhang mit --rcheck oder -update engt das die Suche auf passende TTLs der Pakete ein. iptables_recent, SLAC 2007 / 6

7 recent: Beispiel iptables -A FORWARD -m state -state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -m recent --update -j DROP (andere Regeln) iptables -A FORWARD -i ext_if -p tcp -dport 139 -m recent -set -j DROP iptables -A FORWARD -j DROP Blockiert alle Zombies, die versuchen DCOM-RPC anzusprechen auch für alle weiteren Zugriffe innerhalb der nächsten 60 Sekunden. iptables_recent, SLAC 2007 / 7

8 Manuelle Manipulation der Listen Der Inhalt kann manuell verändert werden. Anzeigen: # cat /proc/net/ipt_recent/default Adresse hinzufügen: # echo > /proc/net/ipt_recent/default Adresse austragen: # echo > /proc/net/ipt_recent/default iptables_recent, SLAC 2007 / 8

9 Abwehr von Portscannern Am Anfang und Ende des Adressblock wird eine Adresse nicht benutzt. Jeder Zugriff auf diese Adressen ist automatisch ein potentieller Angriff. Greift beim ersten Paket, nicht erst ab einem bestimmten Schwellwert. Portscanner werden in die Liste aufgenommen und finden so auch legitime Ports nicht. iptables_recent, SLAC 2007 / 9

10 Portscanner: Beispiel Fernwartung durch SSH, alle IP Adressen erlaubt. Einträge im Logfile in einem Monat: Accept (invalid User, Auth failed): 24 recent_update: % aller feindlichen Verbindungen wurden geblockt. iptables_recent, SLAC 2007 / 10

11 ipt_recent und fwbuilder Bequemer ist die Nutzung einer GUI zum Erzeugen der Regeln für eine Firewall Benutzerdefinierter Service in fwbuilder iptables_recent, SLAC 2007 / 11

12 Policy in fwbuilder Regelnsatz in fwbilder mit Nutzung des recent Moduls: iptables_recent, SLAC 2007 / 12

13 DoS Gefahr! Fälschen der Absenderadresse eines udp Paketes einfach. Es besteht die Gefahr, dass richtiger Verkehr so geblockt werden kann. Besser: recent_set nur nach erfolgreichem Handshake (TCP) Noch besser: Befüllen der Listen nur durch eine Applikation iptables_recent, SLAC 2007 / 13

14 Beispielapplikation: SNORT Intrusion Detection System basierend auf Mustervergleich. IDS snort loggt nach Syslog. Syslog ruft bei snort und Priority: 1 das Programm blocker auf, das die entsprechende IP Adresse in die Liste einträgt. In snort.conf: output alert_syslog: LOG_AUTH LOG_ALERT iptables_recent, SLAC 2007 / 14

15 syslog.conf filter f_snort { facility(auth) and match( snort ) and match ( Priority: 1 ); }; destination snort { program( /usr/local/sbin/blocker.pl ); ); log { source (src); filter (f_snort); destination (snort); }; iptables_recent, SLAC 2007 / 15

16 blocker.pl #!/usr/bin/perl while(<>) { if ( /.*\[1:1810:12\].* -> ((\d{1,3}\.){3}\d{1,3})/ ) { system echo $1 > /proc/net/ipt_recent/block ; } } iptables_recent, SLAC 2007 / 16

17 Vorteile Blockierung von Angriffen auf Lücken, bevor es Patche dafür gibt. Entspanntes testen von Patchen. Schnittstelle kann für jede Applikation genutzt werden. Ein entsprechend konfigurierten Mailserver kann bei der Abwehr von Spam helfen. Der Phantasie sind keine Grenzen gesetzt iptables_recent, SLAC 2007 / 17

18 Danke für die Aufmerksamkeit Fragen? iptables_recent, SLAC 2007 / 18