log ipchains ipcop v1.2

par **shubnigourat** » 09 Sep 2003 17:06

Bonjour, Je suspecte de plus en plus Ipcop v1.2 d etre une vrai passoir. Notre reseau a subi par exemple quelques comtaminations de MSBLAST ces derniers temps. Pour en avoir le coeur nette j aimerais savoir ce que fait Ipchains en temps reel et eventuellement corriger les regles au fur et a mesure. En faisant un parallele avec l exellent Firewall Windows Look'n'stop j ai cherché a identifier dans les logs a visualiser les port filtrés en entrée ou en sortie, les ports autorisées en fonction des nlles regles ... j ai essayé ca : tail -f /var/log/messages au final il n y a pas grand chose qui apparait. En faisant un man de ipchains j ai vu qu il existait une option "-l" Avec cette option appliqué a qq regles perso . Y a enfin des choses qui remonte mais seulement en "INPUT" Pourquoi il n y a rien sur la chain OUTPUT dans les logs ? Pour poursuivre l analyse peut on activer la log ipchaisn "-l" dans les regles de base de Ipcop ? meme temporairement ? je ne risque pas de faire exploser la taille de la log /var/log/messages ?

par **shubnigourat** » 09 Sep 2003 17:28

je me reponds a moi meme ! j ai reglé mon probleme de log OUTPUT invisible sur mes propres regles. Concernant la conf standard d ipcop, en passant en revue le /etc/rc.d/rc.firewall j ai vu qu il y a avait des ordres de "logging" pour les chains input et forward # last rule in input chain is for logging. ipchains -A input -l et ipchains -A forward -l par contre y a rien pour OUTPUT il suffirait donc d ajouter ipchains -A output -l Est ce que je fais bien ? je veux dire : le systeme de gestion des log peut il gerer cette quantité d info sans faire exploser le /var ? En tout cas ca a l air de fonctionner. une commande de ce type tail -f /var/log/messages | grep 'firewall kernel' |cut -d" " -f1,4-9,14 donne un resultat assez proche des logs de Look'n'stop que j ai l habitude d analyser. le but est d etudier l activité générée par mes utilisateurs et d ajuster le filtrage en fonction : P2P, CHAT, jeux en reseau et autre applications illegales pendant les heures de travail.

par **shubnigourat** » 09 Sep 2003 17:34

j allais oublier : ipchains -A output -l permet de logguer la chaine output MAIS qu est ce qui est enregistré au juste ? le traffic rejeté par un REJECT ou DENY ? ou alors tout, ACCEPT y compris ? Si toutes les regles de la chaine ouput sont logguées comment distinguer DENY, REJECT et ACCEPT ?

par **nemesis** » 09 Sep 2003 17:40

ipcop 1.2 passoire? hum je pense qu'on a pas la même définition de firewall... en clair ipcop ne laisse rien rentrer (en tout cas pas à ma connaissance) par contre tout peut sortir depuis le lan (on parle pas de soft style ZA qui permettent aux gentil bidouilleurs de prog commerciaux de ne pas envoyer des infos sur le web..). Pour ton pb de msblast tu aurais pas des gens qui auraient des portables par hazard?..... ensuite pour ton problème de logs effectivement si tu as beaucoup de trafic sur ton lan -> l'exterieur genre des emuleurs ou des kazaaeurs fous tes logs risque d'exploser....

par **shubnigourat** » 10 Sep 2003 09:09

Oui c est vrai. aux premieres heures de l alerte MSBlast les seules contaminations ont été provoqué par des connexion illégale de portable "perso" sur le reseau. Administrateurs : surveillez de pres cette population turbulante ! Depuis tous les postes ont été decomtaminés et patchés. J ai verrouillé les prise reseau sur la mac adresse des postes pour eviter la connexion sauvage des portables. Malgres ces mesures il reste plusieurs cas inexpliqués de contamination ces 2 derniers jours. C ets pour cela que j aimerai etudier de plus pret ce que filtre ipcop. Vous auriez d autre recommandation concernant l analyse des logs ipchains ?

par **nemesis** » 10 Sep 2003 09:55

kels types de contaminations? parce que pour msblast je suis sur que c bloqué au niveau d'ipcop vu que la règle basique appliquée est que tout port < 1024 est bloqué dc blaster (135 139? 445 745) est bloqué. ensuite il faut savoir que au dessus du 1024 normalement tu n'as rien qui écoute donc t'es traiquille! @+

par **shubnigourat** » 10 Sep 2003 13:11

Personnellement n ayant pas accés aux logs ipcop j avais mis en place un script qui fermait les ports utilisés par MSblast pour se propager : # ANTI MSBLAST 08/2003 output udp 69 output tcp 135 output udp 135 output tcp 139 output udp 139 output tcp 445 output udp 445 output tcp 4444 input udp 69 input tcp 135 input udp 135 input tcp 139 input udp 139 input tcp 445 input udp 445 input tcp 4444 Le TCP 4444 serait un port utilisé par MSblast d apres les docs que j avais consulté sur le net avant la redaction du script. Si c est bien le cas, ipcop dans sa conf d origine ne protege pas de MSblast. Autre chose qui m inquiete : Avec une etude plus detaillé du rc.firewall.up effectivement les port 1-1024 sont fermés au traffic externe mais qu en est il au dessus ? Visiblement tout est ouvert. if [ "$RED_DEV" != "" ]; then ipchains -A block -p tcp -i $RED_DEV -d $RED_ADDRESS/$RED_NETMASK 1024:65535 -j ACCEPT ipchains -A block -p udp -i $RED_DEV -d $RED_ADDRESS/$RED_NETMASK 1024:65535 -j ACCEPT fi Ma question : je vais commenter ces 2 lignes. Puis grace a l affichage detaille des log je vais observer les ports filtrés et ouvrir ce dont mes clients ont besoins au cas par cas. La procédure est elle bonne ? Je ne risque pas de bloquer definitivement l Internet ? Je m etonne de ne pas voir d avantage de FAQ, Tips, modif, add-on, post du forum sur cet aspect de la configuration d origine de Ipcop.

par **nemesis** » 10 Sep 2003 14:21

les ports supérieurs à 1024 ne sont pas utilisé par koi ke ce soit sur le system au niveau de l'entrée A MOINS que tu ai mis un serveur en écoute sur ce port là. en général ces ports sont utilisé pour établir des dataconnexion apres avoir négocier un accés sur les ports standards < 1024 moi je suis en icop 1.2 et à part une no réponse aux ping j'ai rien modifié à a config! et j'ai pas eu balster (je voudrais savor d'ailleur comment il peut attaquer par le port 44quechose (4444 je crois que c ça que tu as marqué) si il y a rien qui écoute la dessus! dc je pense que tu as pas trop à t'inquieter à part peut être pour les ports de p2p.

log ipchains ipcop v1.2

Qui est en ligne ?