Я заблокировал все базовые сканирования nmap с помощью iptables, установив правило в цепочке INPUT, согласно которому, если количество пакетов, отправленных с определенного IP-адреса в течение 10 секунд, превышает определенный предел, то помещает этот IP-адрес в черный список и отклоняет дальнейшие пакеты. Таким образом блокируются Nmap SYN Stealth Attack, SYN connect, UDP и все другие базовые сканирования. Теперь я хочу заблокировать сканирование Nmap Xmas. Может кто-нибудь сказать мне, как это сделать.
Я написал следующие правила:
$ iptables -A INPUT -m state --state NEW -m latest --set --name NEW
$ iptables -A INPUT -m latest --update --seconds 10 --hitcount 5 --rttl --name NEW -j DROP
заранее спасибо
Не могли бы вы подробнее рассказать о настроенном вами правиле?
Как вы это описали, это блокирует рождественское сканирование; пакет, подсвеченный флажками, как рождественская елка, все равно будет пакетом, «отправленным с определенного IP-адреса», но если вы действительно настроили свои правила таким образом, то вы, вероятно, непреднамеренно запретите хосты, отправляющие законный трафик на ставка, которая нарушает правило.
Не прилагайте много усилий для обеспечения безопасности неизвестностью. Ваш сервис открыт для Интернета, и сканер может просто замедлить скорость сканирования до обхода, чтобы преодолеть ваш предел скорости, или они могут случайным образом попасть в открытый порт до того, как сработает блок. Блокировка сканирования не заменяет безопасность вашего сервиса.
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j LOG --log-prefix "XMAS A: "
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j LOG --log-prefix "XMAS B: "
iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j LOG --log-prefix "XMAS C: "
iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
nmap -sX отправляет xmas типа B, который у меня есть выше (я только что сделал "тип b" вверху).
каноническое рождество - это тип A.
очевидно, вы можете добавить ограничения по времени.