Iptables TARPIT Target [POM]

#1 hi

hab grad bei securityfocus vom neuen TARPIT Modul gelesen.
klingt ganz interessant

eigene summary :

"schutz gegen wurmattacken"

Würmer scannen von außen rechner, um informationen über laufende dienste zu sammeln und dann den angriff zu starten

Das TARPIT-Target agiert folgendermassen:
es kennzeichnet die vom user in der rule angegebenen ports als offen
der wurm schickt nun ein TCP-Paket mit SYN-Flag
dieses wird mit ACK/SYN von der Linux-FW beantwortet, und dabei die windowsize veringert

dies geschieht so lang, bis die window-size = 0 ist, der wurm also keine daten mehr senden kann und somit sein angriff zunächst gestoppt wird
die verbindung bleibt aber noch offen

das problem für die wümer ist hier einfach, dass sie so geschrieben sind, dass sie schnell informationen sammeln und dann code ausführen - ersteres wird hier so gehämmt, dass der angriff ins leere läuft, der wurm also "gebremst" wird

somit soll eine rasante ausbreitung des wurms verhindert werden

[...read more...]
http://www.securityfocus.com/infocus/1723

finde ich ganz interessant, zumal man es auch gegen portscans einsetzen kann, und dem scanner eine windows-kiste "vorgaukeln" kann
hat jmd. schon getestet?

greez

#2 Auf alle Fälle interessant.
Am besten hat mir

Code

iptables -I INPUT -j TARPIT -p tcp -s 0.0.0.0/0 --dport 80 -m string --string "cmd.exe" 

dies gefallen.
Erinnert mich stark an

Code

netcat -l -p 80 -e "http.sh"

-l = listing -p = port -e = programm
Damit lauscht netcat auf port 80 und leitet alle anfragen an http.sh weiter.

Dies hatte

Code

iptables -A INPUT -p tcp -j TARPIT

ich schon erfolgreich vor wenigen wochen getestet.

mfg p2k
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de

#3 Hört sich interessant an, aber entweder hat 2.4 keine TARPIT unterstüzung oder ich habe sie nicht gefunden. Kanns sein das es das nur in der BETA 2.5/2.6 gibt?
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#4 Du kannst auch 2.4 nehmen.
Aber du musst den patch http://labrea.sourceforge.net/labrea-info.html auch dort reinfrimmeln.

mfg p2k
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de

#5 Danke für die Info, poiin2000 - Den Patch da reinzufrimmeln wer kein Problem aber will nicht neustarten so wichtig ist es nicht aber gut zu wissen das es nen Patch gibt.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#6 hey folks,

jo auf jeden interessant...

@poiin2000
du sagst, du hast es schon getestet mit o.g. rule
wie ist die cpu last auf deinem rechner und wurde anderer verkehr (evtl. geforwarded- bzw. getnated) dadurch in der geschw. beeinflusst?

wie schnell schließt eigentlich der "tarpit-server" die window-size?
einigen würmern reicht evtl. schon die kurze antwortzeit, die der server noch gestattet, bis das window 0 ist
ergo wäre das tarpit bei einigen dieser würmer unnütz, oder?

aber gegen scannen echt klasse
gleicht ja fast nem honey-pot-scan-ergebnis

greez

#7

Zitat

du sagst, du hast es schon getestet mit o.g. rule
wie ist die cpu last auf deinem rechner und wurde anderer verkehr (evtl. geforwarded- bzw. getnated) dadurch in der geschw. beeinflusst?

Ich habe es bisher nur lokal getestet.

Zitat

gleicht ja fast nem honey-pot-scan-ergebnis

labrea - Honeypot for incoming IP connection attempts
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de