Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

erhält. Somit können rechtzeitig geeignete Maßnahmen gegen einen
potentiellen Angreifer unternommen werden.
• relevel ändert den notification level für eine Regel, die diese Aktion ausgelöst
hat. Für den Fall, daß das nächste mal ein Paket genau wieder diese Regel
erfüllt, werden dann Aktionen gestartet, die ein einem neuen notification level
definiert wurden. Dies ist insbesondere dann der Fall, wenn man einzelnen
Ereignissen keine Bedeutung zumessen möchte, es sei denn, daß diese
gehäuft auftreten.
• exec führt ein Shellkommando aus. Beispielsweise kann dieses dazu
gebraucht werden, um ein Interface oder das gesamte System abzuschalten.
Es können verschiedenste Aktionen gestartet werden, z.B. die Überprüfung
des Systems auf veränderte Dateien, Einbrüche, o.ä.
• call ruft einen weiteren notification level auf und führt die darin gelisteten
Aktionen aus.
• let weist einer Variablen einen Wert zu. Ein Timeout Wert, der stets in
Sekunden angegeben wird, kann am Ende des let Befehls angegeben
werden. Wenn also eine Variable verändert oder verwendet werden muß, und
der Zeitraum seit ihrer letzen Veränderung eine bestimmte Zeit überschreitet,
dann wird die Variable auf 0 gesetzt.
Eine Filterregel kann definiert werden, die dynamisch der bestehenden statischen
Filterkonfiguration hinzugefügt wird. In Ergänzung zu den oben beschriebenen
Eigenschaften für Filterregeln gibt es ein paar besondere Eigenheiten für dynamische
Regeln zu beachten. Wenn das Schlüsselwort currentprotocol anstelle der
Protokollbezeichnungen angegeben wird, dann wird dasjenige Protokoll desjenigen
Paketes, welches die Regel erfüllt und somit die Aktion ausgelöst hatte, mit in die neue,
dynamische Regel übernommen. Genauso können die Schlüsselworte sourcehost,
sourcenet, desthost, destnet after to und from verwendet werden, um Informationen
aus der alten Regel in die neue, dynamische Regel zu übernehmen. Zuletzt kann man
noch einen Timout Wert (in Sekunden gemessen) am Ende der Regel hinzufügen
(optional). Dieser Timout sorgt dann dafür, daß die Regel nach Ablauf einer bestimmten
Zeit wieder gelöscht wird.
Man sollte dieses unglaublich mächtige Werkzeug nur mit größter Vorsicht einsetzen, da
nur sehr schlecht vorherzusagen ist, welche Regel im Moment gerade aktiv ist, und
warum. Es ist ebenfalls schwierig, genau die Einflüsse der dynamischen Regeln
untereinander zu bestimmen, weil, wie bei statischen Regeln auch, die Reihenfolge ihrer
Aktivierung Auswirkungen auf deren Abarbeitung in der Liste hat. Andererseits lassen sich
hiermit komplexe Proxy-Mechanismen formulieren und sogar ausgewachsene Proxy's
ersetzen.
Variablen können deklariert werden. Ihr Wert wird dann stets auf 0 gesetzt. Sie können
nur Integerwerte speichern. Wenn also auf Variablen zugegriffen werden soll, dann kann
optional einer der Begriffe sourcehost oder desthost nach dem Variablennamen
angegeben werden, durch ein Doppelpunkt voneinander getrennt. Eine spezielle Instanz
der Variablen wird erzeugt, wenn auf diese zugegriffen wird, wobei entweder die
Quelladresse oder die Zieladresse desjenigen Paketes angegeben wird, welches diese
Aktion ausgelöst hat. Wenn die Variable so verändert wird, dann werden die Variable und
deren Instanz verändert. Diese Eigenschaft kann dazu genutzt werden, die Häufigkeit
eines Ereignisses zu ermitteln, absolut und nach Quell-und Zieladresse aufgeschlüsselt.
Im folgenden Beispiel werden die Variablen und der Timeout Mechanismus für Variablen
und dynamische Regeln gleichzeitig verwendet. Wenn ein Host die Firewall 100 mal in
Folge in einem Abstand von maximal 2 Sekunden anpingt, dann werden alle Pakete von
diesem Hosts für 10 Minuten gesperrt. Der notification level dieser dynamischen Regel
wird auf 0 gesetzt, um die Menge der anfallenden Log-Einträge einzudämmen, die
zwischen Filter und Firewall ausgetauscht werden:
accept icmp icmp_echo to inside notification_level 10;
Erstellt von Doc Gonzo - http://kickme.to/plugins