Cum sa blocati adresele falsificate utilizand paravanul de protectie Linux

Atacatorii gasesc cai sofisticate de a patrunde chiar in retelele izolate care sunt protejate de sistemele de detectare si prevenire a intruziunilor. IDS / IPS poate opri sau reduce la minimum atacurile de catre hackerii care sunt hotarati sa va preia reteaua. Configuratia necorespunzatoare permite atacatorilor sa ignore toate masurile de securitate implementate in retea.

In acest articol, voi explica cum inginerii de securitate sau administratorii de sistem pot preveni aceste atacuri.

Aproape toate distributiile Linux vin cu un firewall incorporat pentru a asigura procesele si aplicatiile care ruleaza pe gazda Linux. Cele mai multe firewall-uri sunt concepute ca solutii IDS / IPS, al caror scop principal este de a detecta si de a impiedica accesul pachetelor rau intentionate la o retea.

Un firewall Linux vine de obicei cu doua interfete: iptables si ipchains. Majoritatea oamenilor se refera la aceste interfete ca "firewall-ul iptables" sau "firewall-ul ipchains". Ambele interfete sunt proiectate ca filtre de pachete. Iptables actioneaza ca un firewall statal, luand decizii pe baza unor pachete anterioare. Ipchains nu ia decizii bazate pe pachetele anterioare; prin urmare, este conceput ca firewall fara stat.

Cu paravanul de protectie iptables, puteti crea politici sau seturi de reguli care sa comunice nucleului modul in care ar trebui sa trateze anumite clase de pachete. In interiorul nucleului este cadrul Netfilter. Netfilter este atat un cadru cat si numele proiectului pentru paravanul de protectie iptables. Ca un cadru, Netfilter permite iptables sa creeze functii de proiectare pentru a efectua operatiuni pe pachete. Pe scurt, iptables se bazeaza pe cadrul Netfilter pentru a construi o functionalitate firewall, cum ar fi filtrarea datelor de pachete.

Fiecare regula iptables se aplica unui lant dintr-un tabel. Un lant iptables este o colectie de reguli care sunt comparate cu pachete cu caracteristici similare, in timp ce un tabel (cum ar fi nat sau mangle) descrie diverse categorii de functionalitati. De exemplu, o masa de magula modifica datele de pachete. Astfel, se aplica reguli specializate care modifica datele de pachete, iar regulile de filtrare sunt aplicate tabelului de filtrare deoarece tabela de filtre filtreaza pachetele de date.

Regulile Iptables au un set de potriviri, impreuna cu o tinta, cum ar fi Dropsau Deny, care instruieste iptables ce sa faca cu un pachet care se conformeaza regulii. Astfel, fara o tinta si un set de potriviri, iptables nu poate procesa eficient pachetele. O tinta se refera pur si simplu la o actiune specifica care trebuie luata daca un pachet se potriveste cu o regula. Meciurile, pe de alta parte, trebuie sa fie indeplinite de fiecare pachet pentru ca iptables sa le poata procesa.

Acum, cand intelegem cum functioneaza paravanul de protectie iptables, sa ne uitam la modul de utilizare a firewall-ului iptables pentru a detecta si a respinge sau a renunta la adresele falsificate.

Verificarea adresei de sursa este o caracteristica la nivel de kernel care scade pachetele care pretind ca provin din reteaua dvs. Utilizeaza metoda filtru de cale inversa pentru a verifica daca sursa pachetului primit este accesibila prin interfata in care a fost introdusa.

Pentru a activa verificarea adresei sursa, utilizati scriptul shell simplu de mai jos, in loc sa o faceti manual:

#!/bin/sh
#author’s name: Michael K Aboagye 
#purpose of program: to enable reverse path filtering
#date: 7/02/18
#displays “enabling source address verification” on the screen
echo -n "Enabling source address verification…"
#Overwrites the value 0 to 1 to enable source address verification
echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter
echo "completed"

Scriptul precedent, cand este executat, afiseaza mesajul Enabling source address verificationfara a adauga o linie noua. Valoarea implicita a filtrului pentru calea inversa este 0.0, ceea ce inseamna ca nu exista validarea sursei. Astfel, a doua linie pur si simplu suprascrie valoarea implicita 0 la 1. 1 inseamna ca nucleul va valida sursa confirmand calea inversa.

In cele din urma, puteti utiliza urmatoarea comanda pentru a renunta sau a respinge adresele falsificate de la gazdele la distanta, alegand oricare dintre aceste obiective: DROPsau REJECT. Cu toate acestea, va recomandam utilizarea DROPdin motive de securitate.

Inlocuiti substituentul "Adresa IP" cu propria adresa IP, dupa cum se arata mai jos. De asemenea, trebuie sa alegeti sa utilizati fie REJECTsau DROP; cele doua obiective nu functioneaza impreuna.

iptables -A INPUT -i internal_interface -s IP_address -j REJECT / DROP  
iptables -A INPUT -i internal_interface -s 192.168.0.0/16  -j REJECT/ DROP

Acest articol ofera doar elementele de baza ale modului de prevenire a atacurilor de falsificare de la gazde de la distanta utilizand paravanul de protectie iptables.