Newsgroup: it.comp.os.linux.sys
Titolo: Consiglio su log iptables

Salve  a tutti,
per un po di tempo con ulog loggavo tutto ciò che subiva un drop da iptables 
5 macchine (2 dns , 1 web , 1 db , 1 backup)che loggavano
su un database centralizzato ma mi sono accorto che  diventava difficile poi
filtrare dati interessati in anche 100 200 mila record a settimana quindi mi 
chiedevo che tipo di dati loggate ?
tutto ? o solo particolari porte o particoli tipi di richieste ?
Spero di essermi spigato decentemente:)

 il rapportino delle cose "strane".
fammi un esempio di cose strane quindi piu interessanti da loggare.
grazie 


Feb  8 10:17:29 dns sshd[20430]: Illegal user test from 218.97.252.38
Feb  8 10:17:32 dns sshd[20456]: Illegal user test from 218.97.252.38
Feb  8 10:17:34 dns sshd[20439]: Illegal user test from 218.97.252.38
Feb  8 10:17:34 dns sshd[20457]: Illegal user test from 218.97.252.38
Feb  8 10:17:38 dns sshd[20462]: Illegal user guest from 218.97.252.38
Feb  8 10:17:40 dns sshd[20479]: Illegal user guest from 218.97.252.38
Feb  8 10:17:48 dns sshd[20508]: Illegal user admin from 218.97.252.38
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 Tutto, ma faccio girare logwatcher
Sta usando *ulog* e sta loggando su db
-- 
No more tradition's chains shall bind us;
Arise, ye slaves! No more in thrall!
The Earth shall stand on new foundations;
We have been naught - We shall be All!

 tutto ? o solo particolari porte o particoli tipi di richieste ?
E' una domanda ben strana: cosa ti interessa loggare non puoi
che saperlo tu


 fammi un esempio di cose strane quindi piu interessanti da loggare.
Personalmente droppo invece di loggare tutti quei tentativi a porte che 
so non essere esposte su internet (esempio le porte usate dai worm, 
netbios, ecc.). Il tutto per almeno provare ad avere dei log che possano 
evidenziare solo le anomalie.
Chiaramente dipende molto dalle tue esigenze e dalla struttura che devi 
gestire.
-- 
Davide Veneziano
http://www.vene.ws
ICQ# 14047537

 che saperlo tu
Praticamente ho provato loggando tutti i pacchetti con la flag --syn che 
veniva droppati e dopo pochi giorni mi sono trovato una quantità di dati che
anche se in un db sono praticamente ingestibili.
Allora ho iniziato a loggare le porte più sensibili come la 22 (anche se ho 
ssh in ascolto su altre porte) cercando di loggare ad esempio tutti i 
tentavi di scan fatti con namp -sS -sF -sX etc.
Parlando di cose strane a questo mi riferivo tentativi di scansioni,tentivi 
vari di intrusione , worm , nessus etc etc, 

 vari di intrusione , worm , nessus etc etc, 
Posto questa lista solo a titolo di esempio. Appena messo su un firewall 
ho visto cosa veniva bloccato piu' frequentemente, mi sono accertato che 
non fossero porte utilizzare da qualche servizio accessibile 
dall'esterno e le ho inserite in questa lista per evitare di farmi 
intasare i log.
Cosi' facendo mi ha ridotto le entries di almeno un ordine di grandezza.
Chiaramente e' solo un esempio, magari te hai dei servizi su queste 
porte o cmq ti potrebbe interessare loggare l'attivita'.
$IPTABLES -A drop-ext-port -p tcp --dport 15118 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 4000 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 17300 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 4899 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 901 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 3410 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 6129 -j DROP
# Worm Lovgate
$IPTABLES -A drop-ext-port -p tcp --dport 20168 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 27374 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1080 -j DROP
# dhcp
$IPTABLES -A drop-ext-port -p udp -d 255.255.255.255 --dport 67:68 -j DROP
# Worm SQL Slammer
$IPTABLES -A drop-ext-port -p udp --dport 1434 -j DROP
# Worm deloder
IPTABLES -A drop-ext-port -p tcp --dport 445 -j DROP
# Vpn con IPSEC
$IPTABLES -A drop-ext-port -p udp --dport 500 -j DROP
# NAV Corporate
$IPTABLES -A drop-ext-port -p udp --dport 38293 -j DROP
# Router Cisco
$IPTABLES -A drop-ext-port -p tcp --dport 57 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 33435:33525 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 113 -j REJECT --reject-with 
tcp-reset
# MyDoom.A
$IPTABLES -A drop-ext-port -p tcp --dport 3127 -j DROP
# Squid
$IPTABLES -A drop-ext-port -p tcp --dport 3128 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 45343 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1433 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 3148 -j DROP
# Windows Popup
$IPTABLES -A drop-ext-port -p udp --dport 1026 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 6112 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1243 -j DROP
# Amanda backup
$IPTABLES -A drop-ext-port -p tcp --dport 10080 -j DROP
# Proxy plus
$IPTABLES -A drop-ext-port -p tcp --dport 4480 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 111 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 8080 -j DROP
# xfs
$IPTABLES -A drop-ext-port -p tcp --dport 7100 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 617 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1029 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1443 -j DROP
# Ldap
$IPTABLES -A drop-ext-port -p tcp --dport 389 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 1027 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 24288 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 65369 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 45668 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 43733 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 65506 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1025 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 2745 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 5000 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1109 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 5554 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 9898 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 8000 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 1023 -j DROP
$IPTABLES -A drop-ext-port -p tcp --dport 3690 -j DROP
$IPTABLES -A drop-ext-port -d 
224.0.0.0/8
 -j logdrop
# netbios
$IPTABLES -A drop-ext-port -p tcp --dport 135:139 -j DROP
$IPTABLES -A drop-ext-port -p udp --dport 135:139 -j DROP
# msmsgs.exe
$IPTABLES -A drop-ext-port -p udp --dport 1900 -j DROP
$IPTABLES -A drop-ext-port -p udp -d 255.255.255.255 -j DROP
$IPTABLES -A drop-ext-port -p udp --sport 520 --dport 520 -j DROP
