Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Lage, eventuelle Angriffe von UNIX-Servern aus Rechenzentren festzustellen, und den
User zu identifizieren. Hierfür sind folgende Methoden implementiert:
• finger
• rusers
• identd
Während finger und rusers einfach nur UNIX-Befehle sind, erfordert der identd eine
spezielle Anpassung. Der Code befindet sich in der Datei sfidentd.c . Das Programm
verbindet sich mit dem Host, der untersucht werden soll, und liefert entsprechend der RFC
1413 Informationen zurück.
Erweiterungen des Firewall-Dämons
Neue Schlüsselworte
Das Hinzufügen neuer Schlüsselworte zu der "notification" Struktur erfordert Änderungen
im Parser und ein paar neue Zeilen in der Funktion "execute_notify" im File sf_daemon.c .
Erweiterung der "counter intelligence"
Diese Erweiterungen sind recht einfach zu implementieren. Eine Änderung in der finger
Funktion (sf_spy.c) ist notwendig. Um einen Eintrag hinzuzufügen, genügt ein einfaches
copy/paste der "rusers" Zeilen und eine Anpassung an die Befehle des verwendeten
Programms.
Um weitere Möglichkeiten der Benachrichtigung des Users hinzuzufügen, ist es
notwendig, die Größe des Files fdarray anzupassen (neben Logfile und E-Mail), und die
num_fd Variable entsprechend anzupassen. Nun muß nur noch ein File - Descriptor
geöffnet werden, der auf den Zielhost zeigt. Alles weitere erfolgt dann automatisch.
Genaue Details befinden sich im Quellcode der finger Funktion (sf_spy.c)
14.27 Firewall Konfiguration
Die Firewall Konfiguration wird aus dem Konfigurationsfile (/etc/firewall.d/firewall.conf)
ausgelesen, interpretiert und direkt in die Datenstrukturen des Firewall-Dämons
eingelesen. Das Regelwerk wird über das Firewall-Device (/dev/firewall) an den Filter
übergeben. Funktionen, die Regeln hinzufügen, löschen oder modifizieren, sind in der
Datei sf_config.h definiert. Dieser Abschnitt beschreibt die Datenstrukturen im Firewall-
Dämon. Die Datentypen sind in sf_global.h für den Firewall-Dämon und den Filter
gemeinsam definiert. Definitionen allein für den Firewall-Dämon liegen in sf_config.h .
Filter Regeln
Der Parser speichert die Regeln in umgekehrter Reihenfolge in einer linearen Liste, sodaß
dieser und der Kernel stets am Kopf der Liste Regeln hinzufügen können. Die ist
insbesondere Notwendig für dynamische Firewallregeln. Die Zeiger für die Struktur der
Variablen zeigt auf den Kopf der Liste. Jede Regel enthält einen Zeiger auf sich selber (ptr
in union rule_id). Dieser Zeiger ist nur im Usermode definiert. Der Filter betrachtet diese ID
als eindeutige Kennzeichnung für eine Regel. Hat der Filter eine Regel an den Firewall-
Dämon übergeben, so kann der über die ID stets schnell auf die Regel erneut zugreifen,
um dynamische Firewallregeln auszulesen, zu ändern o.ä.
Der Parser speichert die Kennzahl für den "notification level" in der Struktur level.num.
Diese Levelnummer wird später in einen Zeiger auf die "notification" Struktur
umgewandelt, unter Berücksichtigung der Konvertierungslevel in sf_config.c
(convert_levels). Adressen, die von den Filterregeln benötigt werden, werden in einem
Erstellt von Doc Gonzo - http://kickme.to/plugins