Логгеры Траффика - узнай своих врагов в лицо

Спецвыпуск Хакера, номер #005, стр. 005-062-3

Sep 11 07:29:34 last message repeated 3 times

Sep 11 07:29:34 Overlapping IP fragments from 192.168.250.250

Sep 11 07:29:34 ICMP: echo from ns.worldsfinest.net (64 bytes)

Sep 11 07:29:34 last message repeated 5 times

- попытка "заморозить" машину посредством joilt2

Sep 11 07:34:40 Duplicate IP fragments from ns.worldsfinest.net

Sep 11 07:35:09 last message repeated 1423 times

И это отнюдь не весь перечень возможных сообщений, генерируемых программой! Как видишь, теперь любой злодей не пройдет незамеченным, и твое право решать - простить лоха и ламера или, зловеще ухмыляясь, набрать в окошке терминала "ping -s 65000 dial-up25.lamerhere.org" ;).

Портсентри

Теперь перейдем ко второй утилите. Если iplog просто занимается логированием трафика и дает тебе возможность своевременно среагировать на действия "удаленного злоумышленника", то portsentry (так называется вторая программа нашего обзора) более активно реагирует на нежелательные проявления сетевой активности. Основная задача этой проги - отслеживание попыток сканирования системы. Ты спросишь, зачем это надо? Отвечаю - любой компьютерный взломщик (в народе - хакер ;)) при выборе потенциальной жертвы первым делом проверит наличие открытых портов на удаленной системе и определит версии висящих на них сервисов. И проделает он это именно при помощи сканирования. Так что можно с уверенностью сказать, что сканирование твоей (да и любой) системы является прелюдией к более серьезным действиям со стороны сканирующего. Вот для того, чтобы своевременно и адекватно реагировать на эти "маленькие звоночки смерти", и нужна программа portsentry. Она определяет факт сканирования и (по выбору) реагирует на него следующими действиями:

1. Регистрирует событие при помощи syslog()

2. Автоматически прописывает адрес сканирующего в файл /etc/hosts.deny

3. Перенастраивает систему так, что весь трафик с вражеского адреса перекидывается на т.н. "мертвый" хост, что создает эффект "исчезновения" твоего компьютера из сети.

4. Все IP пакеты, поступающие с "опасного" хоста, начинают прогоняться через локальный фильтр IP пакетов (попросту - файерволл).

От других утилит, выполняющих подобные действия, portsentry отличается более гибкой системой реакции на "ощупывание" системы и улучшенным механизмом распознавания stealth-сканирования. Программа располагает несколькими методами stealthscan-распознавания, но основными являются следующие два. Первый метод заключается в том, что portsentry "пасет" определенные порты и начинает действовать при попытке "воткнуться" в них. Второй метод можно назвать "обратным" или, как назвал его автор программы, "инверсивным". В этом случае программа прослушивает ВСЕ порты определенного диапазона за исключением портов, на которых висят демоны. Последний метод, конечно, более эффективен в плане защиты, но также чреват большим количеством ложных тревог.

Кажется, я уже наговорил достаточно о возможностях и преимуществах portsentry :). Теперь приступим к скачиванию, установке и запуску этой великолепной программы. Итак, первым делом отправляемся на http://www.psionic.com. Это официальная страница проекта, который занимался разработкой нужной нам утилиты. Там мы хватаем файл под названием portsentry-***.tar.gz, скачиваем его, помещаем в папку, которую мы отвели для архивов, и разжимаем c помощью команды tar zxvf portsentry-***.tar.gz. Затем переходим в новообразовавшуюся папку и начинаем колдовать :). Прежде всего мы открываем файл Makefile и меняем строку CC=cc на СС=egcs и строку INSTALLDIR=/usr/local/psionic на INSTALLDIR=/usr/psionic. После этого открываем файл portsentry_config.h и там производим замену #define CONFIG_FILE "/usr/local/psionic/portsentry/portsentry.conf" на #define CONFIG_FILE "/usr/psionic/portsentry/portsentry.conf". Основная подготовка исходников к компиляции готова. Теперь вводим make linux. После того как закончится компиляция, набираем make install. Программа установлена, но теперь ее надо отконфигурировать и запустить. Конфигурирование portsentry производится с помощью файла /usr/psionic/portsentry/portsentry.conf. Откроем этот файл и посмотрим, что же в нем написано. Ага!!! Мы видим огромное количество закомментированных строк с очень пространными пояснениями к ним. Все что нам надо сделать - это избавить нужные нам строки от знака комментария "#". Внимательно прочитай пояснения к строкам перед тем как убирать знак "#" с каких-либо из них. Ниже я привожу пример готового конфигурационного файла (нужные строки раскомментированы, ненужные просто удалены).

Назад на стр. 005-062-2  Содержание  Вперед на стр. 005-062-4

загрузка...
Cпец Хакер #075Cпец Хакер #074Cпец Хакер #073Cпец Хакер #072Cпец Хакер #071Cпец Хакер #070Cпец Хакер #069Cпец Хакер #068Cпец Хакер #067Cпец Хакер #066Cпец Хакер #065Cпец Хакер #064Cпец Хакер #063Cпец Хакер #062Cпец Хакер #061Cпец Хакер #060Cпец Хакер #059Cпец Хакер #058Cпец Хакер #057Cпец Хакер #056Cпец Хакер #055Cпец Хакер #054Cпец Хакер #053Cпец Хакер #052Cпец Хакер #051Cпец Хакер #050Cпец Хакер #049Cпец Хакер #048Cпец Хакер #047Cпец Хакер #046Cпец Хакер #045Cпец Хакер #044Cпец Хакер #043Cпец Хакер #042Cпец Хакер #041Cпец Хакер #040Cпец Хакер #039Cпец Хакер #038Cпец Хакер #037Cпец Хакер #036Cпец Хакер #035Cпец Хакер #034Cпец Хакер #033Cпец Хакер #032Cпец Хакер #031Cпец Хакер #030Cпец Хакер #029Cпец Хакер #028Cпец Хакер #027Cпец Хакер #026Cпец Хакер #025Cпец Хакер #024Cпец Хакер #023Cпец Хакер #022Cпец Хакер #021Cпец Хакер #020Cпец Хакер #019Cпец Хакер #018Cпец Хакер #017Cпец Хакер #016Cпец Хакер #015Cпец Хакер #014Cпец Хакер #013Cпец Хакер #012Cпец Хакер #011Cпец Хакер #010Cпец Хакер #009Cпец Хакер #008Cпец Хакер #007Cпец Хакер #006Cпец Хакер #005Cпец Хакер #004Cпец Хакер #003Cпец Хакер #002Cпец Хакер #001