Фильтрация трафика

Основными параметрами пакета, по которым производится фильтрация, являются номер порта источника или приемника, адрес отправителя или назначения и протокол. Фильтровать можно как входящий, так и исходящий трафик. Причины для фильтрации исходящего трафика:

· наличие троянских программ, отправляющих в сеть конфиденциальную информацию или соединяющиеся с сервером злоумышленника для получения команд;

· наличие специализированных программ для обхода правил. (Например, перенаправление трафика с разрешенного порта на защищенный, наподобие туннелирования OpenSSL).

Для фильтрации трафика в ядре Unix-систем находятся три основные цепочки правил:

· Input – для входящих пакетов;

· Output – для исходящих пакетов;

· Forward – для пакетов, предназначенных другой системе.

Также пользователь может создавать свои цепочки, которые будут привязаны к определенной политике.

ОС проверяет все правила из цепочки, которая выбирается в зависимости от направления передачи. Пакет обследуется на соответствие каждому правилу из цепочки. Если найдено хотя бы одно совпадение с описанием, то выполняются действия, указанные в данном правиле: DENY, REJECT или ACCEPT, т.е. система решает, пропускать ли пакет дальше.

Одна из особенностей обработки цепочек проявляется в следующем примере. Допустим, есть два правила:

1. Запретить все входящие пакеты на 21 порт сервера.

2. Разрешить пакеты на 21 порт с компьютера с адресом 192.168.1.1.

При посылке с адреса 192.168.1.1. выполнится запрет и пакет удалится, и второе правило никогда не сработает.

В Unix-системах встроены два сетевых экрана: ipchains и iptables.

Основные возможности iptables:

-A цепочка правило – добавить правило в конец цепочки;

-D цепочка правило – удалить правило с указанным номером из заданной цепочки;

-R цепочка номер правило – вставить правило с указанным номером в цепочке;

-I цепочка номер правило – вставить правило в указанную первым параметром цепочку под номером, заданным во втором параметре;

-L цепочка – просмотреть содержимое указанной цепочки;

-F цепочка – удалить все правила из цепочки;

-p протокол – определяет протокол, на который воздействует правило (TCP, UDP, ICMP);

-I интерфейс – задает интерфейс, с которого был получен пакет (INPUT, FORWARD, PREROUTING);

-o интерфейс задает интерфейс, на который направляется пакет (OUTPUT, FORWARD, PREROUTING);

-j действие – операция, которая должна быть выполнена над пакетом:

LOG – поместить в журнал запись о получении пакета;

REJECT – отправителю будет направлено сообщение об ошибке;

DROP – удалить пакет;

BLOCK – блокировать пакеты;

-s адрес – IP-адрес отправителя пакета;

-d адрес – адрес назначения пакета.

Начинать формирование цепочек iptables нужно с очистки всего содержимого. Двигаться необходимо от полного запрета и разрешать только то, что не нанесет вреда серверу. Сервисы, которые могут оказаться опасными, должны быть доступны только доверенным лицам.

Поиск по сайту: