Qual o valor ideal para eu colocar em uma regra para conter ataques syn flood ?? Se eu coloco um valor muito baixo, não poderei ter muitos acessos ao meu server, se coloco muito alto, fico sujeito a problemas.
Ex:
-m limit --limit 1/s --limit-brust 4 (4 conexões sym por segundo)
Grato.
-
05-07-2005, 15:51 #1
- Ingresso
- May 2004
- Posts
- 449
Ataques Syn Flood
-
05-07-2005, 16:01 #2drginfoVisitante Ataques Syn Flood
Se a política do teu firewall for default drop, não precisa fazer este tipo de regra, pois senão ao invés de bloquear você vai liberar acesso ok!
-
05-07-2005, 16:09 #3
- Ingresso
- May 2004
- Posts
- 449
Ataques Syn Flood
a política default é drop.
Só que eu possuo serviços abertos, como email, ssh e http.
Um ataque syn flood pode ser inicado tendo em vista esses serviços.
Logo, devo colocar um limite. Que limite devo colocar, como calculo ???
Grato.
-
05-07-2005, 16:22 #4
- Ingresso
- Sep 2002
- Posts
- 858
Ataques Syn Flood
contra syn flood uso a opção:
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
-
05-07-2005, 16:37 #5
- Ingresso
- May 2004
- Posts
- 449
Ataques Syn Flood
Estou lendo o livro dominando linux firewall iptables de Urubatan Neto e ele fala que a segurança baseada em syncookies possui uma falha de segurança.
-
05-07-2005, 16:50 #6
- Ingresso
- Sep 2002
- Posts
- 858
Ataques Syn Flood
boa... ele diz o que é?
-
05-07-2005, 17:32 #7
- Ingresso
- May 2004
- Posts
- 449
Ataques Syn Flood
Dá uma olhada em : http://www.linuxsecurity.com/content/view/104634/103/
-
05-07-2005, 17:50 #8
- Ingresso
- Apr 2005
- Posts
- 49
Ataques Syn Flood
Cara... tu tem estatística de quantas conexões por segundo e os horários de pico... já que exite essa brecha, poderia fazer um script para ser executado por horário...
Sei que n dei a solução... mais espero ter dado uma idéia...
:good:
-
05-07-2005, 17:54 #9
- Ingresso
- May 2004
- Posts
- 449
Ataques Syn Flood
Não tenho a mínima idéia.
Era justamente isso que eu queria saber.
Se algém possui isso em seus firewalls.
-
08-07-2005, 17:27 #10
- Ingresso
- Sep 2004
- Posts
- 833
Ataques Syn Flood
usa snort com guardian, :clap:
com eles vc n se stressa com essas regras...
abraço
-
08-07-2005, 17:36 #11felcoVisitante Ataques Syn Flood
cara mas essa falha eh pro kernel do freebsd naum do Linux...
-
08-07-2005, 17:46 #12
- Ingresso
- Sep 2002
- Posts
- 858
Ataques Syn Flood
Será mesmo? Essa é uma boa saber!
Postado originalmente por felco
-
15-07-2005, 16:23 #13Visitante Ataques Syn Flood
Esta falha ocorreu no kernel do Linux no final de 2001... isto já foi corrigido há muito tempo. Se quer fazer um controle antiflood no netfilter faça por uma nova chain. Ao invés de dar o ACCEPT para os serviços que te interessa abrir use a chain. Dependendo do tipo de serviço e conexões simultâneas vc estará dando um tiro no pé! O melhor é usar a proteção tcp_syncookies mesmo!
Postado originalmente por roggy
Será mesmo? Essa é uma boa saber! Postado originalmente por felco
-
15-07-2005, 16:34 #14
- Ingresso
- Sep 2002
- Posts
- 858
Ataques Syn Flood
Caro, Postado originalmente por Anonymous
poderia indicar onde achou essa informação? Queria saber mais sobre essa falha.
:good:
-
15-07-2005, 16:59 #15
- Ingresso
- Apr 2004
- Posts
- 545
Ataques Syn Flood
acho que vc devia analisar o trafego na sua rede, ver a que horas vc tem mais trafego, e a que horas o trafego é menor..
dps, aumetnar ou reduzir o limite, conforme o horario.., faça um script ke rode no cron ou assim..
acho k seria uma boa idea..
-
15-07-2005, 17:37 #16Visitante Ataques Syn Flood
Isso ai é notícia muito antiga, já não sei mais te dizer uma fonte exata. Mas vc encontra isto facinho no google. Lembro quando esta falha foi divulgada, mas foi no final de 2001. Era uma falha de kernel e logo que foi descoberta a única solução era desabilitar o recurso - até que a correção fosse disponibilizada. Se não me engano era possível o ganho de root shell. No site da Conectiva tinha esse alerta a explicação toda tb. Outras falhas de kernel foram descobertas e todas as versões de kernel inferiores a 2.4.26 possuem falhas gravíssimas! Hj não tem mais essa de deixar o tcp_syncookies desabilitado.
Postado originalmente por roggy
Citação