Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Angenommen, level 100 war der notification level, der ausgelöst wurde, als die Firewall
gepingt wurde. Das Logfile würde sehr schnell anwachsen, wenn wirklich jedes ping
geloggt würde. Die erste Idee ist, ein relevel auf die Regel anzuwenden:
notification
level 100:
message "Wir sind gepingt worden";
relevel 0;
Genau dies ist aber eine schlechte Idee. Ein einzelnes ping würde ausreichen, um die
Regel quasi außer Betrieb zu nehmen. Weitere ping Versuche würde nicht mehr entdeckt
werden können. Da die Regel nach dem ersten Ping außer Funktion gesetzt wird,
erscheinen in dem Logfile also alle weiteren Pings nicht mehr. Das ist so sicher nicht
beabsichtigt. Damit auch alle weiteren Pings bemerkt werden können, muß die Regel so
aussehen:
notification
level 100:
let pings:sourcehost := pings:sourcehost + 1 timeout 600; /* 10 minutes */
if pings:sourcehost = 1 then
message "We have been pinged";
endif;
Wenn wir einen versuchten DoS Angriff (Denial of Service) mitloggen möchten, dann
können wird eine dynamische Regel hierfür verwenden, und danach alle weiteren Ping
blocken.(block)
if pings:sourcehost > 1000 then
message "Möglicher denial-of-service attack";
spy;
block all from sourcehost notification_level 0 timeout 600;
endif;
Natürlich ist es so nicht möglich, einen echten DoS Angriff, der in der Folge oder
abwechselnd ftp Verbindungen aufbaut, zu bekämpfen. Wichtig ist es jedoch, z.B. Hosts
mit ftp Diensten vor einem solchen Angriff zu bewahren.
Wie man sieht, ist es mit der SINUS Firewall-1 möglich, aufgebaute Verbindungen in
Variablen zu vermerken und daraufhin weitere Regeln zu aktivieren. Wer sich einmal in
Kapitel Netmeeting Protokoll umschaut, der wird erkennen, daß man, um einen
Netmeeting Proxy zu simulieren, genau diesen Mechanismus implementieren kann. Leider
muß die SINUS Firewall-1 für die weiteren UDP Übertragungen über wechselnde Ports
oberhalb von 1024 zu einem bestimmten Host im Internet alle UDP Ports zu dem Client im
geschützten Intranet freigeben. Die Regel wird also etwas länger.
Die induktive Programmierung einer Firewall
Um eine solche Regel implementieren zu können, muß man sich zuerst die DRAFTS der
RFC´s über Netmeeting besorgen. Hierzu wendet man sich entweder an den Microsoft
Server, oder man sucht im Internet nach den entsprechenden RFC´s. Darin ist genau
beschrieben, welche Ports und Protokolle in welcher Reihenfolge geöffnet und
geschlossen werden können, und welche Timeouts hier eine Rolle spielen. Danach erfolgt
die Programmierung der Firewall. Hier sollte man alle DEBUG-Optionen aktiviert haben,
d.h. stets sollte man von "message" Gebrauch machen, um aussagefähige Log-Einträge
zu erhalten. Nun kann eine Testverbindung zu einem Netmeeting Server im Internet
aufgebaut werden. Das wunderbare an Microsoft ist es, daß die Leute sich fast nie an ihre
Erstellt von Doc Gonzo - http://kickme.to/plugins