Newsgroup: it.comp.os.linux.sys
Titolo: SYN stealth

Ho un PC linux che fa da firewall(iptables) esclusivamente x la 
protezione della lan.....
Se provo a fare un ping dell'interfaccia esterna ottengo come risposta 
che l'host non è attivo in quanto non è abilitato a rispondere all'icmp.
se pero lancio il comando nmap -n -vv -P0 non mi blocca il portscan e mi 
trova sia l'host attivo sia la lista delle porte aperte.....
c'è un modo per impedire anche questo tipo di scan??????quale???

 c'č un modo per impedire anche questo tipo di scan??????quale???
beh... equiparare un ping a un syn-scan mi pare esagerato ;-) 
Quello che non capisco della tua domanda č: ma 'sto firewall fornisce
servizi pubblici?!?
e se non li fornisce: le porte di chi vedi?
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 e se non li fornisce: le porte di chi vedi?
La porta che vedo è la 22....è configurato x connetersi da remoto con 
ssh.La porta è la sua, del firewall intendo.

 c'è un modo per impedire anche questo tipo di scan??????quale???
Io  uso   portsentry  per  rilevare   questi  tipi  di   scan. Nel  file
portsentry.conf ho messo questo:
KILL_ROUTE="/usr/local/sbin/iptables -A blocked -p all -s $TARGET$ -j DROP"
In pratica quando portsentry rileva uno scan esegue il comando indicato,
sostituendo $TARGET$  con l'IP  da cui  lo scan  e` partito. Io  uso una
catena separata  da quella  principale (blocked) che  ogni 10  min viene
svuotata da  un cronjob, in modo  da evitare che IP  innocenti rimangano
bloccati (pensa se  ti fanno uno scan con indirizzo  IP sorgente del tuo
DNS...).
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Let me make your mind, leave yourself behind
Be not afraid

 ssh.La porta è la sua, del firewall intendo.
Quindi hai ssh sulla 22 che deve essere pubblicamente disponibile, se ben
capisco, mentre tutto il resto è chiuso dal FW.
In tal caso campa cavallo... Puoi proteggerti da altri scan, ma il syn
passerà sempre. 
Piuttosto, ti conviene loggarli. O chiudere la porta 22 e lasciarla
aperta solo per gli ip che effettivamente ti interessano.


 DROP"
Non ricordo l'opzione di nmap, ma questa riga potrebbe spianare la
strada per un bellissimo DoS.
[con nmap nuovo puoi fare gli scan facendoti passare per qualcun altro,
e la cosa elimina la possibilita' di difesa tramite drop dell'ip
sorgente dello scan]
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~ 
http://members.ebay.it/aboutme/delymyth/
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@despammed.com
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 strada per un bellissimo DoS.
<autoquote>
Io  uso una
catena separata  da quella  principale (blocked) che  ogni 10  min viene
svuotata da  un cronjob, in modo  da evitare che IP  innocenti rimangano
bloccati (pensa se  ti fanno uno scan con indirizzo  IP sorgente del tuo
DNS...).
</autoquote>
Kronos
-- 
Home: 
http://kronoz.cjb.net
"Di tutte le perversioni sessuali, la castita` e` la piu` strana".
Anatole France

 </autoquote>
Un mio cliente sul 10 minuti si e' incazzato parecchio, dato che per
quei 10 minuti (ripetuti a oltranza per mezza giornata, ogni volta che
l'host tornava raggiungibile il firewall lo risegava e via che si va...)
ha perso una valanga di accessi, e loro guadagnano su quello...
Per loro 10 minuti erano qualche migliaio di hits persi, se consideri
che la loro macchina monta 150 vhost circa, e tutti con migliaia di
accessi al giorno...


 ha perso una valanga di accessi, e loro guadagnano su quello...
Ok, la  parte interessante non  era quella  dei 10 minuti...  forse sono
stato criptico. Volevo dire  che avevo indicato il rischio  di un evento
del genere.
Come soluzione  casalinga puo`  andare, per  macchine piu`  importati e`
(IMHO)  piu` semplice  aprire le  porte che  forniscono servizi  (magari
filtrando preventivamente pacchetti strani) e droppare tutto il resto.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net


 il resto.
Noi in ufficio oltre al blocco per 10 minuti facciamo anche quello (i
log in effetti sono decisamente GROSSI -_-)


 =)
Carissimo...
A pro'...
Ieri sera ci ho messo 5 ore a scaricare una ISO, anziche' le mie solite
3...
E la tentazione di staccare un certo cavo di rete e' stata forte...
Che stavi facendo?
Si tu!
[era urgente per lavoro, normalmente non m'incazzo per ste lungaggini e
lascio a scaricare di notte, ma ieri era una cosa urgente...]
