Mit Timing spiele ich auf die nmap Option -T (Timing) an. Beim "paranoid" hat Portsentry in den meisten Fällen bereits Schwierigkeiten...
unsinn!!! es ist portsentry scheiss egal in welchen zeitabstaenden pakete eintrudeln - sobald ein paket auf einen unerwuenschten port trifft, wird dieser bei mir automatisch gedroppt (default portsentry reaktion). damit du das endlich glaubst, hier mal der scan auf meinen host:
nmap -sS -P0 -v -T Paranoid -p 21-25 xxx.xxx.xxx.xxx
Starting nmap V. 3.00 (
http://www.insecure.org/nmap/ )
Host my.vhost.mydomain.org (xxx.xxx.xxx.xxx) appears to be up ... good.
Initiating SYN Stealth Scan against my.vhost.mydomain.org (xxx.xxx.xxx.xxx)
The SYN Stealth Scan took 9044 seconds to scan 5 ports.
Interesting ports on my.vhost.mydomain.org (xxx.xxx.xxx.xxx):
(The 1 port scanned but not shown below is in state: closed)
Port State Service
22/tcp filtered ssh
23/tcp filtered telnet
24/tcp filtered priv-mail
25/tcp filtered smtp
ausser das der scan ewig lange dauert, kommt hierbei nichts raus. zur info: der einzig in wirklichkeit offene port ist 25/smtp.
portsenty logfile ca. 2 sekunden nach dem ersten scan versuch:
May 19 17:32:27 portsentry[15047]: attackalert: TCP SYN/Normal scan from host: pD9E65131.dip.t-dialin.net/217.230.82.149 to TCP port: 21
May 19 17:32:27 portsentry[15047]: attackalert: Host 217.230.82.149 has been blocked via wrappers with string: "ALL: 217.230.82.149"
May 19 17:32:27 portsentry[15047]: attackalert: Host 217.230.82.149 has been blocked via dropped route using command: "/sbin/iptables -I CHECK -s 217.230.82.149 -j DROP"
aus der portsentry readme:
SCAN_TRIGGER - PortSentry has a state engine that will remember hosts
that connected to it. Setting this value will tell PortSentry to allow X
number of grace port hits before it reacts. This will detect both
sequential and random port sweeps. The default is 0 which will react
immediately.
soll heissen: ein paket auf einen falschen port, und du bist gedroppt!!! da bringt dir die -T Option ungefaehr 0 , nichts.
Du redest hier die ganze Zeit von Flooding und/oder DOS, ich hingegen sage ausschließlich, das Portsentry jemandem, der etwas mehr im Kopf hat als das normale Scriptkiddie (um mal meine erste Aussage hierzu auszuformulieren) herzlich wenig aufhalten wird.
koenntest du dann bitte ausformulieren, warum ein ueberhax0r keine probleme mit portsentry hat? du sagst immer nur das es fuer den geuebten kein problem ist, portsentry zu umgehen, warum dies aber "kein problem" sein soll, verraetst du nicht. klaer mich doch mal auf?! wo siehst du den schwachpunkt?
Mal ganz nebenbei bemerkt wüsste ich absolut nicht, was Portsentry (also dem eigentlichen Thema) mit DOS zu tun haben sollte
hae? self-dos, portsentry floodet die iptables. das meine ich damit. jedoch eben mit meinem script kein problem mehr...
spätestens wenn dich jemand mit ICMP-Garbage dost, bekommt Portsentry da nichts von mit
das hast du richtig erkannt. portsentry ist ausschlieslich fuer udp/tcp konzipiert. daher faellt icmp meiner meinung nach nicht mehr in den bereich von portsentry. dies muss dann eben extra behandelt werden. bei mir mittels eines einzeilers im iptables input chain (mit limit match etc.)..
fazit: portsentry hat mit ICMP gar nix zu tun, weil es dafuer nicht konzipiert wurde. das muessen die iptables uebernehmen.
Unter keinen Umständen? Belege für diese Behauptung?
Nein, belege habe ich dafuer nicht, jediglich eine rein logische erklaerung. Du sagst, das es einfach ist, mit den decoy scans eine Dos attacke hervor zu rufen. Dies ist theoretisch moeglich, jedoch praktisch kaum umsetzbar, da du ja die ganze zeit neue decoys einfuegen muesstest (dauert viel zu lange) und diese wiederum portsentry nach dem ersten scan auf einen port wiederum scheiss egal sind, weil sie dann per iptables gedropped sind.
.. Eine Lösung gegen DOS ist aber auch das bei weitem nicht, wenn du einmal richtig gedost wirst, hilft einzig und allein Ingres-Filterung auf dem vorstehenden Router, alles andere verlängert nur die Zeit, bis es richtig teuer wird.
Das ist schon klar. Jedoch gehe ich davon aus, dass die meisten leute einen server gemietet oder gehoused haben, was wiederum heisst, das ihnen nur ihre eigene kiste zur verteidigung zu verfuegung steht. d.h. man hat keine kontrolle ueber den vorgeschalteten router, sondern eben, wie schon oben gesagt, nur ueber seine eigene maschine. da kann man dann eben nur das beste draus machen, und zwar so gut wie moeglich paket filtern, bzw. alles unnoetige im dos fall zu droppen.
Ein Scriptkiddie magst du damit abhalten, die guten Jungs forderst du dadurch erst heraus.
Die "guten jungs" sind so schnell gedroppt, dass sie nicht mehr, als das result eines "script-kiddie-scans" erhalten :)
Wenn wir jetzt einmal beim Thema dieses Forums bleiben hast du hier nicht wirklich aufgepasst, denn bei gemieteten Servern bringt's dir in den allermeisten Fällen nicht einmal mehr etwas, den Stecker zu ziehen, wenn du gedost wirst, da Hoster im allgemeinen den Traffic am Switch oder Router messen...
Ich bin mir dessen durchaus bewusst, das der traffic am vorgeschalteten router aufgezeichnet wird. aber du glaubst doch wohl selbst nicht, das dir dein isp traffic berechnet, obwohl deine kiste ausgeschaltet war! daher, auch dies falsch:
der Traffic schlägt also auch weiterhin eine mächtige Schneise in deinen Freitraffic
Sorry, aber (wie oben gesagt) ist im Falle eines DOS auch droppen herzlich sinnfrei, da helfen (wie bereits öfter gesagt) nur ganz andere Methoden.
Nein, ist es definitv nicht. da du davon ausgehen musst, das man nur kontrolle ueber seine eigene maschine hat, und nicht ueber den router davor oder sonstiges, ist das, dass einzige was dir uebrig bleibt. [ausser - die absolute endloesung, du schaltest den rechner aus.]
