logs firewall : 6000 acces en 6h c beaucoup ?

par **mOuNs044** » 29 Août 2003 15:14

BJ, comme g pas trouvé de reponse, je post ( j'ai cherché si,si <IMG SRC="images/smiles/icon_smile.gif"> ) en visualisant mes logs de firewall dans l'interface web d'ipcop, je constate environ 6000 demandes d'accés depuis la mise en service de ce matin (a 9h00 ), un chiffre impressionnant pour un newbie....et un nombre non moins impressionnant de tentatives d'acces au port 7215 (tcp ou udp) en provenances d'adresses sources diverses.... alors la question, basique peut-etre, est la suivante : y'a t-il lieu de s'inquieter ? ces acces au port 7215 laissent-ils presager quelques ennuis ?... sachant que g un client p2p (aie...pas sur la tete <IMG SRC="images/smiles/icon_smile.gif"> ) en DMZ..... please no rtfm <IMG SRC="images/smiles/icon_bise.gif"> ps g encore une question a propos des logs snort, mais pas tout en meme temps <IMG SRC="images/smiles/icon_biggrin.gif">

par **mOuNs044** » 29 Août 2003 15:32

je peut donner plus d'info sur ma config si y'a besoin <IMG SRC="images/smiles/icon_wink.gif">

par **yannva** » 29 Août 2003 15:37

Si tu décris un peu ta config ca ira surement mieux : - type de config , Ip utilisés, ports ouverts et transférés on pourra t'aider <IMG SRC="images/smiles/icon_wink.gif"> Yann

par **mOuNs044** » 29 Août 2003 15:52

voili,voila pour commencer c un usage domestique... adsl 512/128....modem ethernet....(dhcp fai)ipcop ipcop---green(192.168.1.1)dhcp..........(192.168.1.xxx).......2postes(winXP/debian) | |____DMZ(192.168.10.1)ip fixes.......(192.168.10.50)......client p2p(sous debian) si il en faut + ya qu'a demander <IMG SRC="images/smiles/icon_razz.gif">

par **mOuNs044** » 29 Août 2003 15:53

tant que j'y pense : ipcop=Ppro200+dd1 Go+ramedo96Mo

par **Gesp** » 29 Août 2003 16:04

Pour répondre sur la quantité, le 16 j'ai vu environ une alerte par mn sur le port 135. Depuis je drop systématiquement les paquets entrant (pour les logs) et sortant (parce que rien ne devrait sortir par là) sur les ports 135:139, 445, 1900, 5000 donc c'est beaucoup plus calme. Tu peux adapter si nécessaire pour le port que tu cites Dans le cas des IP variables, suivant ce que le précédent utilisateur de ton adresse utilisait comme trafic, il faut un certain temps aux logiciels de peer pour se désintéresser de ton adresse. Si cela te gènait, tu fais une déco/reco et tu pourrais être plus tranquille avec la nouvelle adresse j'ai mis cela dans rc.local pour filtrer. Il suffit de lancer le fichier une fois (il est aussi lancé au démarrage) Par rapport à ce que tomtom avait indiqué, il manque un filtrage sur le OUPUT mais il n'y a pas actuellement de CUSTOMOUTPUT dans IPCop. Si j'ai à peu près compris le fonctionnement d'iptables, ce n'est pas bien grave puisque que je ne dois pas avoir de processus local me générant de traffic sur les ports à filtrer. /sbin/iptables -A InOut -p udp --dport 135:139 -j DROP /sbin/iptables -A InOut -p tcp --dport 135:139 -j DROP /sbin/iptables -A InOut -p udp --dport 445 -j DROP /sbin/iptables -A InOut -p tcp --dport 445 -j DROP # Ainsi que le SSDP/UPnP /sbin/iptables -A InOut -p udp --dport 1900 -j DROP /sbin/iptables -A InOut -p tcp --dport 1900 -j DROP /sbin/iptables -A InOut -p udp --dport 5000 -j DROP /sbin/iptables -A InOut -p tcp --dport 5000 -j DROP /sbin/iptables -A CUSTOMINPUT -i $IFACE -j InOut /sbin/iptables -A CUSTOMFORWARD -i $IFACE -j InOut /sbin/iptables -A CUSTOMFORWARD -o $IFACE -j InOut # ma pile est naze, faudrait que je la change alors en palliatif au redémarrage /bin/touch /var/ipcop/time/settimenow

par **mOuNs044** » 29 Août 2003 16:18

ouloulou! ca se complique vite avec ipcop!, mais plus c compliqué plus on en apprend <IMG SRC="images/smiles/icon_smile.gif"> g eu un peu de mal a trouver rc.local déjà mais maintenant je m'apercois qu'il est.......vide ! c normal ? pas pour la pile prends des rechargeable NiMH c se qui coute le moins cher à la longue <IMG SRC="images/smiles/icon_biggrin.gif">

par **mOuNs044** » 29 Août 2003 16:40

cayest, g ajouté les deux lignes iptables a rc.local pour le port 7215 par contre apres je suis déjà 'largué' qu'entends tu par ssdp/upnp ? c'est toujours à ajouté dans rc.local ? les lignes avec 'CUSTOMINPUT' aussi? et, si tu as du temps a perdre, a quoi servent-elles ces lignes (custominput) merci d'avance <IMG SRC="images/smiles/icon_smile.gif">

par **Gesp** » 29 Août 2003 18:42

Dans rc.local, tu peux mettre tes modifs, c'est un script vide qui ne sera jamais changé par un fix. Il est sauvegardé dans la disquette de backup. Les cibles CUSTOMxxx pour iptables sont destinées à ajouter des règles particulières à celles définies dans rc.firewall. A priori les cibles CUSTOMxx sont définies au bon endroit dans rc.firewall pour que l'on puisse ajouter ses propres règles perso dans rc.local sans avoir à toucher à rc.firewall. Après comprendre les règles, il faut regarder les explications de tomtom sur ce forum et aller voir <a href="http://christian.caleca.free.fr/netfilter/" target="_blank">http://christian.caleca.free.fr/netfilter/</a> Concernant SSDP, je ne sais pas, je fais confiance à tomtom mais si je ne sais pas que je n'ai besoin, je peux m'en passer. Concernant UPnP c'est un protocole Microsoft qui n'est pas vraiment sécurisé donc sur une machine qui le supporterait comme le font beaucoup de petits routeurs parce que les clients le demandaient, il est très facile d'ouvrir tous les ports que l'on veut de l'extérieur en se faisant passer pour quelqu'un que l'on est pas. C'est aussi pour cela que la plupart des distrib Linux se refusent de le faire même si le soft Linux existe parce que l'on pourrait presque ne pas avoir de firewall que ce serait pareil. UPnP est demandé parce que les logiciels Microsoft en avaient besoin pour passer les firewalls mais avec MSN6 maintenant plus besoin donc UPnP au mieux tombera certainement rapidement dans l'oubli si des virus ne se décident pas à utiliser les failles qu'il représente. Mais comme il y a certainement encore plein de failles moins spécifiques dans les softs Microsoft, peut-être n'est ce pas une cible intéressante pour les virus? En tout cas, fermer UPnP ne fait pas de mal.

par **mOuNs044** » 29 Août 2003 19:40

merci !! <IMG SRC="images/smiles/icon_bise.gif"> <IMG SRC="images/smiles/icon_bise.gif"> en ma qualité de newbie je pense avoir compris l'essentiel le rc.local est donc reservé aux 'add-on' perso, en fait je suppose que le blocage des port n'est fait qu'en sortie (malgre le parametre InOut) car j'ai bien lu dans la doc que la version 1.3 d'ipcop bloquait par defaut TOUS les ports en entrée (sauf le 113 je crois)...?? par contre CUSTOMINPUT là j'ai pas bien compris (un alias pour placer nos regles supplementaires au bon endroit dans rc.firewall ??) <IMG SRC="images/smiles/icon_confused.gif"> enfin je suppose que la reponse est dans l'expli de netfilter (j'avais parcouru une parti du site mais pas eu le temps de m'attaquer à ca (c quand meme un gros morceau <IMG SRC="images/smiles/icon_biggrin.gif"> ) pour resumer, tout ce que tu m'as indiqué est à placer dans rc.local et ipcop 'drop' dardart tout ce qui se presente à ces ports (cela dit est-ce que ca apparait toujours dans les logs?) en tout cas merci d'aider les newbies <IMG SRC="images/smiles/icon_smile.gif">

par **Gesp** » 29 Août 2003 20:04

si tu as juste ajouté 2 lignes iptables avec le port que tu veux 'drop'er en tcp et udp, ce n'est pas suffisant. Il faut aussi les 3 lignes /sbin/iptables -A CUSTOMINPUT -i $IFACE -j InOut /sbin/iptables -A CUSTOMFORWARD -i $IFACE -j InOut /sbin/iptables -A CUSTOMFORWARD -o $IFACE -j InOut Oui presques tous les ports sont fermés en entrée sauf le 113 , celui du DHCP s'il est utilisé. La différence avec ces règles pour l'entrée, c'est qu'il ne sont plus dans le log du firewall donc moins de bazard pour en retrouver l'essentiel. Pour la sortie, les règles standards ne bloquent rien donc là même si un virus est déjà sur votre réseau sur le port 135, si vous voyez ce que je veux dire, il ne passera pas s'il ne sait pas essayer un autre port non bloqué.

par **mOuNs044** » 29 Août 2003 20:08

impecable!, g tout compris (enfin presque pour la presence obligatoire des lignes CUSTOM-quelquechose j'irai voir sur l'expli netfilter) par contre, sans vouloir abuser, c quoi cette histoire de pile ? <IMG SRC="images/smiles/icon_confused.gif">

par **nemesis** » 29 Août 2003 20:17

en fait la ligne permet a la machine de se mettre à l'heure tte seule au démarage qud la pile du bios est naze je pense

par **mOuNs044** » 29 Août 2003 20:26

oups! j'avais pas compris ça comme ça.. j'avais plutot pensé a un truc de programmation un peu barbare <IMG SRC="images/smiles/icon_lol.gif"> sinon pour appliquer toutes ces bonnes modifs (qui j'espere serviront aussi a d'autres) en petit reboot des familles ou on relance juste une partie ?

par **mOuNs044** » 30 Août 2003 10:28

encore une ch'tite question : dans les règles supplementaires données par Gesp je vois : /sbin/iptables -A InOut -p udp --dport 445 -j DROP /sbin/iptables -A InOut -p tcp --dport 445 -j DROP si je fais ça ipcop va 'droper' tous les paquets arrivant ou voulant sortir du port 445 or si je veux consulter mon ipcop par son interface web en mode sécurisé je fais une requète https sur le port 445 avec mon navigateur préféré il me semble (https://le_nom_de_mon_ipcop:445) je suppose que si je fais ça sa ne fonctionnera plus (ou alors g rien compris... <IMG SRC="images/smiles/icon_bawling.gif"> ) à moins qu'il n'y ait qu'une seule interface reseau affectctée par ces règles (RED en l'occurence) et qu'on puisse toujours l'interroger (l'interface web d'ipcop depuis l'interieur du reseau...) merci de me "désembrouiller" <IMG SRC="images/smiles/icon_biggrin.gif">

logs firewall : 6000 acces en 6h c beaucoup ?

Qui est en ligne ?