У меня свежая установка Ubuntu 16.04. Я настроил iptables, ufw (с gufw) и psad, используя инструкции из https://www.thefanclub.co.za/how-to/how-secure-ubuntu-1604-lts-server-part-1-basics и https://www.thefanclub.co.za/how-to/how-install-psad-intrusion-detection-ubuntu-1204-lts-server.
Кажется, все работает нормально, но теперь я получаю огромное количество писем с жалобами на сканирование UDP с моей машины (самому себе), моего маршрутизатора и других устройств в моей сети.
Как это исправить? Как игнорировать их или что-то в этом роде?
От сервера к себе:
=-=-=-=-=-=-=-=-=-=-=-= Tue May 3 18:40:47 2016 =-=-=-=-=-=-=-=-=-=-=-=
Danger level: [2] (out of 5)
Scanned UDP ports: [32412-32414: 6 packets, Nmap: -sU]
iptables chain: INPUT (prefix "[UFW AUDIT]"), 2 packets
iptables chain: OUTPUT (prefix "[UFW ALLOW]"), 2 packets
iptables chain: OUTPUT (prefix "[UFW AUDIT]"), 2 packets
Source: 192.168.1.50
DNS: server.nigam.com
Destination: 192.168.1.255
DNS: [No reverse dns info available]
Overall scan start: Tue May 3 18:40:20 2016
Total email alerts: 37
Complete UDP range: [32412-32414]
Syslog hostname: nook
Global stats:
chain: interface: protocol: packets:
INPUT br1 udp 6
OUTPUT br1 udp 12
С роутера:
=-=-=-=-=-=-=-=-=-=-=-= Tue May 3 18:40:49 2016 =-=-=-=-=-=-=-=-=-=-=-=
Danger level: [2] (out of 5)
Scanned UDP ports: [42608-58785: 6 packets, Nmap: -sU]
iptables chain: INPUT (prefix "[UFW AUDIT]"), 6 packets
Source: 192.168.1.1
DNS: NigamNet
Destination: 192.168.1.69
DNS: nook.nigam.com
Overall scan start: Tue May 3 18:35:58 2016
Total email alerts: 39
Complete UDP range: [32911-60857]
Syslog hostname: nook
Global stats:
chain: interface: protocol: packets:
INPUT br1 udp 119
С localhost:
=-=-=-=-=-=-=-=-=-=-=-= Tue May 3 18:40:47 2016 =-=-=-=-=-=-=-=-=-=-=-=
Danger level: [1] (out of 5) Multi-Protocol
Scanned UDP ports: [33335: 2 packets, Nmap: -sU]
iptables chain: INPUT (prefix "[UFW AUDIT]"), 1 packets
iptables chain: OUTPUT (prefix "[UFW AUDIT]"), 1 packets
Source: 127.0.0.1
DNS: localhost
Destination: 127.0.0.1
DNS: localhost
Overall scan start: Tue May 3 18:40:20 2016
Total email alerts: 5
Complete TCP range: [6789]
Complete UDP range: [33335]
Syslog hostname: nook
Global stats:
chain: interface: protocol: packets:
OUTPUT lo tcp 3
OUTPUT lo udp 3
INPUT lo tcp 3
INPUT lo udp 3
Из моего Року:
=-=-=-=-=-=-=-=-=-=-=-= Tue May 3 07:03:33 2016 =-=-=-=-=-=-=-=-=-=-=-=
Danger level: [3] (out of 5)
Scanned UDP ports: [41598: 1 packets, Nmap: -sU]
iptables chain: INPUT (prefix "[UFW BLOCK]"), 1 packets
Source: 192.168.1.108
DNS: NP-4124DU054440.nigam.com
Destination: 192.168.1.69
DNS: nook.nigam.com
Overall scan start: Tue May 3 00:12:39 2016
Total email alerts: 191
Complete UDP range: [39474-41598]
Syslog hostname: nook
Global stats:
chain: interface: protocol: packets:
INPUT br1 udp 195
Вам необходимо настроить брандмауэр, если вы хотите уменьшить этот вид шума.
В вашем случае одним из возможных способов может быть добавление правила к вашему брандмауэру, которое разрешает все входящие соединения на портах UDP, которые происходят из вашей локальной сети.