TCPDump et IPTables DROP par chaîne de caractères

iptables -A INPUT -m string --alog bm --string attack_string -j DROP

Il y a quelques problèmes avec cette idée.

Tout d'abord, vous devriez voir les documentation :

Veuillez utiliser cette correspondance avec prudence. Beaucoup de personnes veulent utiliser cette correspondance pour arrêter les vers, avec la cible DROP. Il s'agit d'une erreur majeure. N'importe quelle méthode d'évasion d'IDS pourrait la mettre en échec.

De la même manière, beaucoup de gens ont utilisé cette correspondance comme un pour arrêter des fonctions particulières de HTTP comme POST ou GET en abandonnant tout paquet HTTP contenant la chaîne POST. Veuillez comprendre que ce travail est mieux fait par un proxy de filtrage. De plus, tout contenu HTML contenant le mot POST serait abandonné avec la première méthode. Cette correspondance a été conçue pour pouvoir mettre en file d'attente vers userland les paquets intéressants pour une meilleure analyse, c'est tout. Abandonner un paquet basé sur cela serait vaincu par n'importe quelle méthode d'évasion IDS.

Qu'est-ce que le -string sert en fait à placer les paquets dans une file d'attente ou une chaîne séparée pour qu'ils soient traités par un système IDS. Il n'est pas conçu pour interpréter les informations de la couche 7, que ce soit de manière holistique ou comportementale, ou en utilisant la correspondance des signatures, puis en abandonnant le paquet une fois qu'il est considéré comme "mauvais". Ainsi, deuxièmement, le -string n'est pas assez sophistiquée pour votre cas d'utilisation et vous finirez probablement par abandonner des paquets que vous souhaitez conserver.

Vous remarquerez également qu'il n'y a pas de chaîne dans le paquet que vous pouvez envoyer à -string . Le paquet tel que montré par TCPDump est illisible une fois traduit en ASCI (probablement). Le site -string est vraiment conçu pour rechercher des éléments tels que les commandes HTTP Post, où le paquet contient des chaînes de caractères. Si vous voulez aller jusqu'au bout de votre idée d'utiliser iptables comme un système IDS à correspondance de signature, vous voudrez probablement utiliser l'argument U3 Capacité d'appariement pour rechercher des modèles de bits particuliers.

Troisièmement, et c'est le plus important, le temps que les paquets impliqués dans un déni de service atteignent votre machine et soient traités par votre pare-feu, le mal est déjà fait. Toute atténuation significative d'une attaque par déni de service implique de travailler avec votre fournisseur d'accès en amont pour bloquer le trafic. avant il atteint votre serveur.

Votre dernier commentaire semble indiquer que vous cherchez un moyen d'arbitrer les inondations syn. Les cookies syn sont conçus pour faire exactement cela. Vous pouvez activer les syncookies avec la commande suivante exécutée en tant que root.

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

Il existe d'autres paramètres que vous pouvez modifier pour changer le comportement des cookies de synchronisation. Consultez la documentation à l'adresse http://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt .