Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Systemadministrator eines Hosts durch die Firewall automatisch z.B. via e-Mail über
Angriffe, die von seinem Host ausgehen informiert werden kann.
Aktionen, die vom spy gestartet werden können
DNS lookup und ein Abgleich mit einem reverse lookup, auch double reverse lookup
genannt, ist ein unverzichtbares Mittel, festzustellen, ob eine IP-Adresse in einem
Netzwerkbereichs des Internet offiziell eingetragen ist, oder nicht. Wenn dieser Vergleich
negativ ist, dann wird automatisch eine Warnung generiert. Typisch für eine solche
Warnung sind hauptsächlich Konfigurationsprobleme. Nur wenn in Verbindung mit einer
solchen Warnung z.B. auch der Einsatz eines Portscanners aufgezeichnet wird, dann erst
ist es notwendig, aktiv zu werden.
Im folgenden soll die Firewall selber aktiv herausfinden, von welchem User der Angriff
stammen könnte. Viele der Untersuchungen von spy liefern können falsche oder bewußt
gefälschte Meldungen liefern. Dies sollte stets berücksichtigt werden, bevor besondere
Maßnahmen ergriffen werden. Diese Tatsache sollte man stets im Hinterkopf behalten.
identd ist ein Dienst, der versucht, dem registrierten TCP Paket einen User auf dem Host
zuzuordnen, bei anderen Paketen ist dieser Dienst nicht einsetzbar. Wenn alle wie erhofft
funktioniert, dann steht im Logfile der Name desjenigen Users auf dem Host, der die
Verbindung initiiert hat. Diese Einträge sollte man für spätere Auswertungen aufbewahren.
Fehlermeldungen, wie no such user oder connection refused sind Anzeichen dafür, daß
die Funtionen deaktiviert wurden.
finger ist der Versuch, einem fremden UNIX Host die momentan eingeloggten User zu
entlocken. Den Rückantworten ist der Username und einige Zusatzinformationen zu
entnehmen, die dieser in eine .plan Datei seines Homeverzeichnisses geschrieben hat.
rusers ist der Versuch festzustellen, von wo aus sich der User in den Host eingeloggt hat,
und wie lange dieser schon aktiv oder unaktiv ist. (idle time)
Ohne besondere Anweisungen an die Firewall werden alle diese Ausgaben in die Datei
firewall.spy in dem Verzeichnis des Logfiles abgelegt. Wenn das Schlüsselwort mail sich
in demselben notification level, wie das spy Schlüsselwort befindet, dann werden
zusätzlich die Ergebnisse per e-Mail zugestellt.
Hier ein paar Beispiele für eine Ausgabe in firewall.spy:
FIREWALL COUNTER INTELLIGENCE REPORT, Aug 09 12:20:02
Triggered by: (s 13) accept TCP 1.2.3.4:1065->193.194.195.196:telnet
Host address: 1.2.3.4
Host name: oval.office.gov
identd information:
User ID: mlevinski.
finger information:
[1.2.3.4]
Login: mlevinski Name: Monica Levinski
Directory: /home/unabom Shell: /bin/csh
On since Wed Aug 9 10:27 (EST) on tty1
No Mail.
No Plan.
Login: bclinton Name: Bill Clinton
Directory: /home/bclinton Shell: /bin/bash
Erstellt von Doc Gonzo - http://kickme.to/plugins