Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Timeouts werden für folgende Funktionen eingesetzt:
• Entfernung dynamischer Regeln (remove_rule)
• Schreiben des Logfiles auf Festplatte (flush_log)
• Beendigung hängender Prozesse (kill_spy)
Timeouts sind in dem File sf_custom.h definiert und sollten entsprechend den
Anforderungen beim Einsatz in Hochleisungs - Netzwerken angepaßt werden.
Error Handling
Der Firewall-Dämon schreibt alle Error - Meldungen in die Logfiles und sendet ggf. E-Mails
an den User, z.B. wenn der freie Speicherplatz auf der Festplatte den Wert von 2 MByte
unterschreitet. Wenn alle diese Funktionsaufrufe versagen, dann schreibt der Firewall-
Dämon die letzten Meldungen auf die Konsole und unterbricht allen Netzwerkverkehr.
Vermeidung von doppelten Log-Einträgen
Der Firewall-Dämon übergibt Nachrichten sowohl an den SYSLOGD und schreibt in sein
eigenes Logfile. Während der SYSLOGD automatisch mehrfache Einträge bereinigt (last
message repeated...times), mußte dieses Verhalten in den Firewall-Dämon expliziert
hinein programmiert werden. (flogf() Funktion). Wenn der Firewall einen Eintrag im Logfile
vornimmt, so wird vorher überprüft, ob diese Nachricht bereits existiert. Falls dies zutrifft,
wird ein Zähler angeworfen, der solange hochzählt, bis eine andere Nachricht erscheint. In
diesem Falle werden in das Logfile die Zahl der Ereignisse und deren Dauer geschrieben,
bevor die neue Nachricht geschrieben wird. Dies ist kein Schutz vor schnell wechselnden
Angriffsmethoden mit wechselnden gespooften IP-Adressen. Hiergegen gibt es keinen
Schutz. Für den Fall, daß keine Ereignisse eintreten, wird in ein Eintrag periodisch
erzwungen, als Kontrolle der Funktionsfähigkeit der Log-Funktion.
Variablen und Timeouts
Variablen werden in einem Array des Typs struct gespeichert. Es ist für die korrekte
Zuordnung der Variablen zu Netzwerken, Hosts... notwendig, daß jeder Eintrag als
Struktur erfolgt. Es existieren zu jedem Variablennamen also eine Vielzahl von
Untereinträgen. Um diese Unterteilung von Variablen vornehmen zu können, kann eine
dynamische Liste von Hosts jeder einzelnen Variablen zugeordnet werden. Der Eintrag in
das Array wird dann zu dem Kopf der Liste, dem Rooteintrag. In jedem Rooteintrag wird
das Adressfeld nicht berücksichtigt. Es enthält aber die Summe aller Einträge in der
Hostliste und die Timeout-Werte der jeweils am längsten lebenden Einträge darin. Wenn
also ein Variable mit einem Timeout versehen wird (firewall.conf), wird der Wert 0
zurückgegeben. Hierbei ist im Gegensatz zu den dynamischen Filterregeln kein alarm
oder Signal erforderlich. Wenn ein neues Element an die Liste der Hosts angefügt wird,
wird die Liste zuerst nach Elementen durchsucht, die veraltet sind. Wenn ein solches
gefunden wird, wird dieser Eintrag aufgefrischt, andernfalls wird ein neuer angelegt. Diese
Funktionen befinden sich in dem File sf_daemon.c
14.26 Counter Intelligence
Die Files sf_spy.c enthält den Code für die "counter intelligence" Fähigkeiten der Firewall.
Diese Funktion kann die Zuverlässigkeit der Firewall steigern.Der Firewall-Dämon
überprüft die IP und den DNS-Namen des zugreifenden Hosts. Über diesen "double
reverse lookup" kann die Firewall überprüfen, ob ein Host gespoofte (vorgetäuschte IP -
Nummern) Adressen benutzt. Diese gespooften Adressen sind typisch für Cracker oder
Fehlkonfigurationen. Hierzu kann der Firewall-Dämon weitere Untersuchungen am
zugreifenden Host vornehmen. Ein verdächtiger Host wird dann alle SPY_TIMEOUT
Minuten untersucht. Dieser Wert wird in sf_custom.h definiert. Die SPY Funktion ist in der
Erstellt von Doc Gonzo - http://kickme.to/plugins