Aplicações Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables
GTER15 Exemplos de Aplicaes do GNU/Linux

Netfilter Iptables
Back to Home
Home
Apresentao
:: Objetivos Estratgia
:: Dados do Autor
Viso Geral
:: Scripts com o Iptables
:: Malformed Packets
ARP Poisoning
:: ARP Poisoning default gateway
:: ARP Poisoning Iptables
Denial of Service
:: TCP SYN FLOOD: caractersticas
:: Syn Flood: Resultados
:: Syn Flood: reaes mais comuns
:: Syn Flood: reao vivel atualmente
:: Syn Flood Netfilter
:: Denial of Service (DoS): outros tipos
2003 by Antonio Batista

<antonio@CintraBatista.net>
Onde buscar este documento na Internet
http://www.CintraBatista.net/docs/sent/gter/
(a partir de 2 feira, 14/04/2003)
Palestra apresentada na Reunio do GTS, ocorrida em
conjunto com a 15 Reunio do GTER.
DATA: Quartafeira, 09/abril/2003, s 11:00
LOCAL:
Centro de Convenes Frei Caneca
Rua Frei Caneca, 569, 4 andar
So Paulo SP
rea de contedo atualizada em Wednesday, 2003April09 03:52:37 GMT3 (So Paulo, Brazil, South
America)
GTER15 Exemplos de Aplicaes do GNU/Linux Netfilter Iptables
Objetivos Estratgia
Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do Autor
Viso Geral
:: Scripts com o
Iptables
ARP Poisoning
:: ARP Poisoning
default gateway
:: ARP Poisoning
Iptables
Denial of Service
:: TCP SYN FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood: reaes
mais comuns
:: Syn Flood: reao
vivel atualmente
:: Denial of Service
(DoS): outros tipos
Objetivos
Disponibilizar contedo para servir de referncias

futuras
Apresentar solues criativas com o uso de Netfilter
Iptables
Explicar o possvel dentro da limitao de tempo: 50
minutos
Estratgia
Devido limitao de tempo, optouse por enriquecer/diversificar o contedo,
consequentemente sacrificandose as explicaes mais detalhadas, embora
procurando limitar um pouco o contedo para no haver um desequilbrio
exagerado.
America)
Objetivos Estratgia
Dados do Autor
Back to Home
Home
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
:: ARP Poisoning default
gateway
Antonio Augusto de Cintra Batista

<antonio@CintraBatista.net>
Engenheiro Eletrnico
Security Officer Diveo
Proprietrio IPtrip Fabricao de Roteadores de Borda (BGP, OSPF)
Fundador em 1987 Sodalys Fabricao desde 1991 de aparelhos para o
tratamento da hiperhidrose (excesso de suor).
Denial of Service
:: TCP SYN FLOOD:
caractersticas
:: Syn Flood: reaes
mais comuns
:: Syn Flood: reao
vivel atualmente
(DoS): outros tipos
America)
Dados do Autor
Scripts com Iptables

Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do
Autor
Viso Geral
:: Scripts com
o Iptables
:: Malformed
Packets
ARP
Poisoning
:: ARP
Poisoning
default
gateway
:: ARP
Poisoning
Iptables
Denial of
Service
:: TCP SYN
FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood:
reaes mais
comuns
:: Syn Flood:
reao vivel
atualmente
:: Syn Flood
Netfilter
:: Denial of
Service (DoS):
outros tipos
Exemplo de um script com recursos diversos

#!/bin/bash
#
# (C) by Antonio Batista
# Licensed as a free software under GNU GPL version 2
#
# Iptables programs directory
PRGDIR="/usr/local/iptables/bin"
# Iptables data directory
DATDIR="/usr/local/iptables/data"
#
#
#
#
Load appropriate modules.

modprobe ip_tables
modprobe ip_conntrack
modprobe ip_conntrack_ftp
# to protect against arp poisoning

GW="10.1.1.1"
MAC="00:02:4B:CB:11:00"
/usr/sbin/arp s $GW $MAC 2>/dev/null
# These lines are here in case rules are already in place and the script
# is ever rerun on the fly.
# We want to remove all rules and preexisiting user defined chains and
# zero the counters before we implement new rules.
iptables F
iptables X
iptables Z
iptables P INPUT ACCEPT
iptables P FORWARD ACCEPT
iptables P OUTPUT ACCEPT
## ============================================================
# RULES
# A custom chain to log and drop.
# We must remember that the LOG target is a
# "nonterminating target", i.e., a match on this rule does
# not stop the rules traversal, and the next target (DROP)
# results evaluated as well.
iptables N dropcounter
iptables A dropcounter j RETURN
iptables N logdrop
iptables A logdrop m limit limit 10/s limitburst 4 j LOG \
logprefix "[SYN FLOOD] "
iptables A logdrop j dropcounter
iptables A logdrop j DROP
iptables N logmalform
iptables A logmalform m limit limit 10/s limitburst 4 j LOG \
logprefix "[MALFORMED] "
iptables A logmalform j DROP
iptables N malfgroup
#$PRGDIR/malfgroup.sh
iptables A malfgroup
p
p
p
j
tcp tcpflags SYN,FIN SYN,FIN

tcp tcpflags SYN,RST SYN,RST
tcp tcpflags FIN,RST FIN,RST
RETURN
j logmalform
j logmalform
j logmalform
###############################################
# INPUT chain groups
###############################################
iptables N inbestgroup
#$PRGDIR/inbestgroup.sh
iptables A inbestgroup j RETURN
# iptables N inpreidsgroup
# $PRGDIR/inpreidsgroup.sh
# iptables A inpreidsgroup j RETURN
iptables N inmalfgroup
#$PRGDIR/inmalfgroup.sh
iptables A inmalfgroup j malfgroup
iptables A inmalfgroup j RETURN
iptables N inbadgroup
#$PRGDIR/inbadgroup.sh
iptables A inbadgroup j RETURN
iptables N ingoodgroup
#$PRGDIR/ingoodgroup.sh
iptables A ingoodgroup j RETURN
iptables N indenygroup
#$PRGDIR/indenygroup.sh
iptables A indenygroup j RETURN
iptables N inacceptgroup
#$PRGDIR/inacceptgroup.sh
iptables A inacceptgroup j RETURN
iptables N indsggroup
#$PRGDIR/indsggroup.sh
iptables A indsggroup j RETURN
iptables N incustomergroup
#$PRGDIR/incustomergroup.sh
iptables A incustomergroup j RETURN
# iptables N inidsgroup
# $PRGDIR/inidsgroup.sh
# iptables A inidsgroup j RETURN
iptables N infwgroup
$PRGDIR/infwgroup.sh
iptables A infwgroup j RETURN
###############################################
# FORWARD chain groups
###############################################
# iptables N fwdbestgroup
# $PRGDIR/fwdbestgroup.sh
# iptables A fwdbestgroup j RETURN
# iptables N fwdmalfgroup
#$PRGDIR/fwdmalfgroup.sh
# iptables A fwdmalfgroup j malfgroup
# iptables A fwdmalfgroup j RETURN
# iptables N fwdbadgroup
# $PRGDIR/fwdbadgroup.sh
# iptables A fwdbadgroup j RETURN
# iptables N fwdgoodgroup
# $PRGDIR/fwdgoodgroup.sh
# iptables A fwdgoodgroup j RETURN
# iptables N fwddenygroup
#$PRGDIR/fwddenygroup.sh
# iptables A fwddenygroup j RETURN
# iptables N fwdacceptgroup
#$PRGDIR/fwdacceptgroup.sh
# iptables A fwdacceptgroup j RETURN
# iptables N fwddsggroup
#$PRGDIR/fwdacceptgroup.sh
# iptables A fwddsggroup j RETURN
# iptables N fwdcustomergroup
# $PRGDIR/fwdcustomergroup.sh
# iptables A fwdcustomergroup j RETURN
# iptables N fwdfwgroup
#$PRGDIR/fwdfwgroup.sh
# iptables A fwdfwgroup j RETURN
###############################################
# OUTPUT chain groups
###############################################
iptables N outmalfgroup
$PRGDIR/outmalfgroup.sh
iptables A outmalfgroup j malfgroup
iptables A outmalfgroup j RETURN
iptables N outgoodgroup
$PRGDIR/outgoodgroup.sh
iptables A outgoodgroup j RETURN
iptables N outfwgroup
$PRGDIR/outfwgroup.sh
iptables A outfwgroup j RETURN
## SYNFLOOD
#
iptables N synflood
iptables A synflood m limit limit 50/s limitburst 4 j RETURN
iptables A synflood j logdrop
###############################################
# INPUT
###############################################
# The conventional chains
iptables A INPUT i lo j ACCEPT
# Best Group
iptables A INPUT j inbestgroup
# PreIDS Group
# iptables A INPUT j inpreidsgroup
# Malformed
iptables A INPUT j inmalfgroup
# Bad VIP
iptables A INPUT j inbadgroup
# Good VIP
iptables A INPUT j ingoodgroup
# Deny Group
iptables A INPUT j indenygroup
# Accept Group
iptables A INPUT j inacceptgroup
# Deny Services Group
iptables A INPUT j indsggroup
# Customer Group
iptables A INPUT j incustomergroup
# Syn Flood
iptables A INPUT p tcp syn j synflood
# Firewall
iptables A INPUT j infwgroup
# DEFAULT DROP
iptables A INPUT m limit limit 10/s limitburst 4 j LOG \
logprefix "[INPUT FW] "
iptables A INPUT j DROP
# IDS Group
# iptables A INPUT j inidsgroup
# iptables A INPUT j DROP
###############################################
# FORWARD
###############################################
# Best VIP
# iptables A FORWARD j fwdbestgroup
# Malformed
# iptables A FORWARD j fwdmalfgroup
# Bad VIP
# iptables A FORWARD j fwdbadgroup
# Good VIP
# iptables A FORWARD j fwdgoodgroup
# Deny Group
# iptables A FORWARD j fwddenygroup
# Accept Group
# iptables A FORWARD j fwdacceptgroup
# iptables A FORWARD j fwddsggroup
# Customer VIP
# iptables A FORWARD j fwdcustomergroup
# Syn Flood
# iptables A FORWARD p tcp syn j synflood
# Firewall
# iptables A FORWARD j fwdfwgroup
# DEFAULT ACCEPT
#iptables A FORWARD m limit limit 10/s limitburst 4 j LOG \
# logprefix "[FORWARD FW] "
# iptables A FORWARD j ACCEPT
###############################################
# OUTPUT
###############################################
iptables A OUTPUT o lo j ACCEPT
# Malformed
iptables A OUTPUT j outmalfgroup
# Good VIP
iptables A OUTPUT j outgoodgroup
# Deny Group
# Accept Group
# SynFlood
iptables A OUTPUT p tcp syn j synflood
# Firewall
iptables A OUTPUT j outfwgroup
# DEFAULT ACCEPT
iptables A OUTPUT j ACCEPT
# THE END
# ==================================================================
America)
Pacotes fora do padro

Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do
Autor
Viso Geral
:: Scripts com
o Iptables
:: Malformed
Packets
ARP
Poisoning
:: ARP
Poisoning
default
gateway
:: ARP
Poisoning
Iptables
Exemplo de regras
iptables N logmalform
iptables A logmalform m limit limit 10/s limitburst 4 j LOG \
logprefix "[MALFORMED] "
iptables A logmalform j DROP
iptables N malfgroup
#$PRGDIR/malfgroup.sh
p
p
p
j
tcp tcpflags SYN,FIN SYN,FIN

tcp tcpflags SYN,RST SYN,RST
tcp tcpflags FIN,RST FIN,RST
RETURN
j logmalform
j logmalform
j logmalform
Denial of
Service
:: TCP SYN
FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood:
reaes mais
comuns
:: Syn Flood:
reao vivel
atualmente
:: Syn Flood
Netfilter
:: Denial of
Service (DoS):
outros tipos

America)
10
ARP Poisoning default gateway

Back to Home
Home
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
Denial of Service
:: TCP SYN FLOOD: caractersticas
:: Syn Flood: reaes mais comuns
:: Syn Flood: reao vivel atualmente
:: Denial of Service (DoS): outros tipos
Entradas estticas na tabela

ARP
GW="10.1.1.1"
MAC="00:02:4B:CB:11:00"
/usr/sbin/arp s $GW $MAC 2>/dev/null
Podese fazer o mesmo com outros gateways ou

mquinas mais crticas
Consultando a tabela ARP:
arp na
America)
ARP Poisoning default gateway
11
ARP Poisoning Iptables

Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do
Autor
Viso Geral
:: Scripts com
o Iptables
:: Malformed
Packets
ARP
Poisoning
:: ARP
Poisoning
default
gateway
:: ARP
Poisoning
Iptables
Denial of
Service
:: TCP SYN
FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood:
reaes mais
comuns
:: Syn Flood:
reao vivel
atualmente
:: Syn Flood
Netfilter
:: Denial of
Service (DoS):
outros tipos
EXEMPLO de "programao" de firewall camada 2, ou roteador:

# ARP Poisoning
iptables A FORWARD j arpfwgroup
# Best VIP
iptables A FORWARD j fwdbestgroup
# Malformed
iptables A FORWARD j fwdmalfgroup
# Bad VIP
iptables A FORWARD j fwdbadgroup
# Good VIP
iptables A FORWARD j fwdgoodgroup
# Deny Group
iptables A FORWARD j fwddenygroup
# Accept Group
iptables A FORWARD j fwdacceptgroup
iptables A FORWARD j fwddsggroup
# Customer VIP
iptables A FORWARD j fwdcustomergroup
# Syn Flood
iptables A FORWARD p tcp syn j synflood
# Firewall
iptables A FORWARD j fwdfwgroup
# DEFAULT DROP
iptables A FORWARD m limit limit 10/s limitburst 4 j LOG \
logprefix "[FORWARD FW] "
iptables A FORWARD j DROP
Chain arpfwgroup em detalhes:

iptables N arpfwgroup
iptables A arpfwgroup p all m mac macsource ! 00:11:22:33:44:55 \
s 10.1.2.3 j DROP
iptables A arpfwgroup p all s 10.1.2.3 j RETURN
iptables A arpfwgroup p all m mac macsource ! 66:77:88:99:AA:BB \
s 10.1.2.4 j DROP
iptables A arpfwgroup p all s 10.1.2.4 j RETURN
iptables A arpfwgroup p all s 10.1.2.0/23 j DROP
# Bloqueia todo o restante por default
iptables A arpfwgroup p all j DROP
A ferramenta est a... para colocar em produo de forma escalvel, podese criar uma
poltica e implantla tecnicamente fazendo scripts que consultam a tabela do arpwatch:
/var/lib/arpwatch/eth0.dat
12
/var/lib/arpwatch/eth1.dat
Podese utilizar esta chain arpfwgroup que criamos nas seguintes chains
prdefinidas:
PREROUTING, para pacotes que acabaram de entrar nas

tabelas nat ou mangle.
INPUT, para pacotes que acabaram de entrar nas tabelas
filter ou mangle.
FORWARD, no caso de firewall camada 2 (firewall em
bridge), ou firewall operando como roteador. Tabelas: filter
ou mangle.
America)
13
TCP SYN FLOOD: caractersticas

Back to Home
Home
Caractersticas tpicas:
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
gateway
Denial of Service
:: TCP SYN FLOOD:
caractersticas
:: Syn Flood: reaes mais
comuns
:: Syn Flood: reao vivel
atualmente
:: Denial of Service (DoS): outros
tipos
30 a 100 K pacotes/segundo (um portscan gera

em torno de 0.5 a 1.0 K pacotes/segundo).
Pacotes tipicamente de 40 bytes.
Endereo de origem falsificado sem repetio
(para dificultar identificao da origem).
A quase totalidade das Operadoras no tm
processos bem definidos para identificar a
interface mais externa de sua rede por onde
entra o DoS.
Endereo de destino bem determinado.
Um laptop PIII 600 MHz capaz de gerar 17
K pacotes/segundo com falsificao
randmica do endereo IP de origem.
Quase 100% dos ataques DoS so originados
do Exterior, e acontecem durante o nosso
horrio comercial (o intuito causar mais
impacto, noite ou finaldesemana um
cliente de um ISP costuma nem perceber que
foi atacado).
O que a Imprensa costuma divulgar como
DDoS pode no passar de DoS proveniente de
uma nica mquina.
14
Sintoma 1: ataque SYN flood porta de http

de um cliente brasileiro? Causa provvel:
algum no Exterior est muito nervoso porque
recebeu um SPAM anunciando o tal website, e
o ISP no respondeu ou no tomou atitude.
Vide newsgroup de SPAM, spews.org e
spamhaus.org.
Sintoma 2: o ataque passou a se estender para
outros servidores "inocentes"? Causa
provvel: o SPAM muito insistente e o tal
carinha que o recebeu est hiper nervoso.
Soluo: a mais barata pode ser cancelar o
contrato com o seu cliente que hospeda o site
do spammer?
America)
15
Syn Flood: Resultados

Back to Home
Home
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
Denial of Service
:: TCP SYN FLOOD:
caractersticas
comuns
atualmente
:: Denial of Service (DoS): outros
tipos
2 a 3 K pacotes/segundo j so suficientes
para causar DoS em todos os firewalls
conhecidos (nem precisa dos 30 a 100 K
pkts/s).
Firewall est em DoS => toda a estrutura de
rede abaixo dele est em DoS, e no somente
o endereo IP destinatrio do ataque.
O recurso que os firewalls e equipamentos de
rede costumam chamar de Syn Flood
Defender no passa de um portscan
defender, e ainda faz com que estes
equipamentos entrem em DoS mais
rapidamente. Portscan tipicamente originado
por IP de origem verdadeiro (no "spoofado").
Aps alguns segundos sob TCP Syn Flood,
todos os firewalls conhecidos precisam de um
boot manual porque no conseguem retornar
sozinhos sua condio normal, aps cessado
o ataque.
Se colocarmos o OpenBSD, FreeBSD e Linux
configurados em bridge (2 interfaces ethernet
em srie com o trfego IP), os 2 primeiros
atingem 100% de CPU no incio de um DoS
do tipo Syn Flood. O Linux mantm o
consumo mdio em torno de 15%.
16
Mesmo tendo baixo consumo de CPU durante

o ataque, os recursos internos do Linux se
tornam escassos e ocorre significativa
degradao (mas no indisponibilidade). H
tempo para uma deteo e uma reao.
America)
17
Syn Flood: reaes mais comuns

Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do
Autor
Viso Geral
:: Scripts com o
Iptables
:: Malformed
Packets
ARP Poisoning
:: ARP
Poisoning
default gateway
:: ARP
Poisoning
Iptables
Denial of
Service
:: TCP SYN
FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood:
reaes mais
comuns
:: Syn Flood:
reao vivel
atualmente
:: Syn Flood
Netfilter
:: Denial of
Service (DoS):
outros tipos
Identificao do endereo IP atacado.

Bloqueio rpido deste IP atacado (garantir a
disponibilidade do restante da rede).
Identificao da interface de rede intraAS mais externa,
e AS adjacente.
Solicitar que o AS adjacente identifique a sua interface de
rede intraAS mais externa, e assim sucessivamente at
chegar na origem. Esta abordagem hoje muito terica e
no funciona na prtica com a grande maioria dos AS's.
Alternativa vivel que sobrou: identificar e bloquear o
endereo IP atacado, o mais rapidamente possvel.
Uma alternativa esperada para futuro (breve?): ICMP
traceback
http://www.ietf.org/internetdrafts/draftietfitrace04.txt
Meu sentimento a respeito: falta algoritmo de garantia de
autenticidade da origem destes pacotes (e no por falta
de tecnologia para isto).
America)
Syn Flood: reaes mais comuns
18
Syn Flood: reao vivel atualmente

Back to Home
Home
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
gateway
Requer a soluo de um PROBLEMA

PRINCIPAL
Deteo automtica e rpida do
endereo IP atacado.
Denial of Service
:: TCP SYN FLOOD:
caractersticas
comuns
atualmente
:: Denial of Service (DoS):
outros tipos
America)
Syn Flood: reao vivel atualmente
19
Syn Flood Netfilter

Back to Home
Home
Apresentao
:: Objetivos
Estratgia
:: Dados do
Autor
Viso Geral
:: Scripts com o
Iptables
:: Malformed
Packets
ARP Poisoning
:: ARP
Poisoning
default gateway
:: ARP
Poisoning
Iptables
Denial of
Service
:: TCP SYN
FLOOD:
caractersticas
:: Syn Flood:
Resultados
:: Syn Flood:
reaes mais
comuns
:: Syn Flood:
reao vivel
atualmente
:: Syn Flood
Netfilter
:: Denial of
Service (DoS):
outros tipos
Regras de iptables
Chains criadas para a deteo:
## SYNFLOOD
#
iptables N synflood
iptables A synflood m limit limit 500/s limitburst 4 j RETURN
iptables A synflood j logdrop
iptables N logdrop
iptables A logdrop m limit limit 10/s limitburst 4 j LOG \
logprefix "[SYN FLOOD] "
iptables A logdrop j DROP
Exemplo de como elas podem ser chamadas:

# Customer chain
iptables A FORWARD j fwdcustomergroup
# Syn Flood
iptables A FORWARD p tcp syn j synflood
# Firewall chain
iptables A FORWARD j fwdfwgroup
# DEFAULT DROP
iptables A FORWARD m limit limit 10/s limitburst 4 j LOG \
logprefix "[FORWARD FW] "
iptables A FORWARD j DROP
America)
Syn Flood Netfilter
20
Denial of Service (DoS): outros tipos

Back to Home
Home
Apresentao
:: Dados do Autor
Viso Geral
ARP Poisoning
gateway
Seja o protocolo ICMP, UDP, OSPF, IPinIP,

SCTP, ...
A abordagem anloga, com pequenas adaptaes
(configuraes) para atender necessidades
particulares.
Denial of Service
:: TCP SYN FLOOD:
caractersticas
:: Syn Flood: reaes
mais comuns
:: Syn Flood: reao
vivel atualmente
(DoS): outros tipos
America)
Denial of Service (DoS): outros tipos
21

Aplicações Iptables

Загружено:

Сведения о документе

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Aplicações Iptables

Загружено:

Авторское право:

Доступные форматы

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

GTER15 Exemplos de Aplicaes do GNU/Linux

2003 by Antonio Batista

GTER15 Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Disponibilizar contedo para servir de referncias

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Antonio Augusto de Cintra Batista

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Scripts com Iptables

Exemplo de um script com recursos diversos

Load appropriate modules.

# to protect against arp poisoning

Scripts com Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

tcp tcpflags SYN,FIN SYN,FIN

Scripts com Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Scripts com Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Scripts com Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Scripts com Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Pacotes fora do padro

tcp tcpflags SYN,FIN SYN,FIN

Pacotes fora do padro

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Pacotes fora do padro

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

ARP Poisoning default gateway

Entradas estticas na tabela

Podese fazer o mesmo com outros gateways ou

ARP Poisoning default gateway

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

ARP Poisoning Iptables

EXEMPLO de "programao" de firewall camada 2, ou roteador:

Chain arpfwgroup em detalhes:

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

PREROUTING, para pacotes que acabaram de entrar nas

ARP Poisoning Iptables

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

TCP SYN FLOOD: caractersticas

30 a 100 K pacotes/segundo (um portscan gera

TCP SYN FLOOD: caractersticas

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Sintoma 1: ataque SYN flood porta de http

TCP SYN FLOOD: caractersticas

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Syn Flood: Resultados

Syn Flood: Resultados

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Mesmo tendo baixo consumo de CPU durante

Syn Flood: Resultados

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Syn Flood: reaes mais comuns

Identificao do endereo IP atacado.

Syn Flood: reaes mais comuns

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Syn Flood: reao vivel atualmente

Requer a soluo de um PROBLEMA

Syn Flood: reao vivel atualmente

GTER15: Exemplos de Aplicaes do GNU/Linux Netfilter Iptables

Syn Flood Netfilter