Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

fragmentiert. Ein Angreifer, der sein Glück mit verschachtelten Fragmenten versucht, wird
aus Gründen des exakten Timings immer versuchen, diese von einem Host aus nächster
Nähe zu generieren, z.B. direkt von dem Bastion host in der DMZ. Aufgrund der
Zuordnung IP-Adresse zu fragmentierten Paketen läßt sich direkt ablesen, ob ein solcher
Angriff stattfindet, oder ob es nur ein gewöhnliches Paket aus dem Internet ist.
Zugegeben, die Erstellung der Regeln ist nicht gerade trivial, aber es ist unerläßlich, diese
Angriffsmethoden zu kennen, wenn man es mit Profis zu tun bekommt.
12.10 Interne Abläufe der Firewall
Hier nur ein Überblick darüber, welche Prozesse innerhalb der Firewall stattfinden:
1. Der Bytecounter für jede Regel wird um die Größe des Headers oder des
Gesamtpaketes erhöht.
2. Der Paketzähler wird erhöht
3. Es wird auf Wunsch ein Logeintrag vorgenommen
4. Auf Wunsch wird der TCP Header mit dem ToS Feld verändert.
5. Auf Wunsch wird ein Paket in einer Liste vermerkt. (nicht in der Version 2.0)
6. Die Anweisungen nach der Regel werden analysiert, um zu entscheiden, was
mit dem Paket passieren soll.
Regel - Anweisungen
Die Regel Anweisungen sind für den Kernel bestimmt, damit dieser darüber informiert ist,
was mit dem Paket zu geschehen hat, auf welches eine Regel zutrifft. ipchains benutzt
hierbei die Option -j (jump-to) für die Angabe einer Ziels. Der Name des Ziels darf nur
max. 8 Buchstaben lang sein, wobei Groß-und Kleinschreibung unterschieden wird.
Die Einfachste Anweisung ist diejenige, wo kein Ziel angegeben wird. Diese wird oft auch
accounting rule genannt, weil sie nur zum Zählen von Paketen, dem Accounting geeignet
ist:
ipchains -A input -s 192.168.1.1
Diese Regel zählt alle Pakete von dem Host 192.168.1.1 mit. Der Befehl ipchains -L -v
zeigt die Summe von Bytes und Paketen an, die das Interface passiert haben, nachdem
die Regel zutreffend war. Es läßt sich somit nach Port, Zieladresse und Quelladresse das
Datenaufkommen zählen.
Es gibt sechs spezielle Anweisungen. Die ersten drei sind bereits bekannt, diese sind
ACCEPT, REJECT und DENY. ACCEPT besagt, das das Paket passieren kann. DENY
verwirft das Paket in aller Stille, REJECT verwirft das Paket ebenso, generiert aber eine
ICMP Nachricht, Code Nummer 3.
Die vierte ist die Anweisung MASQ. Sie beauftragt den Kernel, die Absendeadresse, also
die Quell IP - Nummer durch die IP - Nummer des eingehenden Interfaces zu ersetzen.
Hier zu muß der Kernel mit der Option masquerading kompiliert worden sein. Für die
genaue Beschreibung siehe den Abschnitt Unterschiede zwischen ipchains und ipfwadm.
Diese Anweisung ist nur zulässig für Pakete, die die forward chain durchlaufen. Der
Zweck dieser Regel ist es, interne IP - Nummern nicht in das Internet zu verraten, um
einem Angreifer möglichst wenig Informationen über die Zahl und den Ort der Hosts im
Intranet zu verraten.
Die fünfte Anweisung ist die Option REDIRECT. Diese besagt, daß der Kernel das Paket
auf einen lokalen Port umleiten soll. Diese Anweisung wird nur für TCP und UDP Pakete
ausgeführt. Als Ergänzung kann nach der Regel -j REDIRECT ein Port angegeben
werden, auch wenn das Paket an einen anderen Port weitergeleitet wurde. Diese
Erstellt von Doc Gonzo - http://kickme.to/plugins