Firewall Iptables

[etiennegaloup]

Bonjour,

je possède un firewall fait à partir d'iptables.

Je loggue les paquets venant de l'extérieur qui sont jetés par mon firewall.

Je les consulte régulièrement mais y a-t-il des paquets auxquels je dois faire plus particulièrement attention ? Par exemple, j'ai pas mal de paquets en ACK SYN dont le sport est 80.Cela se produit surtout la nuit alors que je ne me sers pas de mon pc à ce moment-là, donc je n'envoie aucun paquet vers l'extérieur avec pour en-tete SYN donc normalement aucune raison de recevoir des accusés de réception ACK SYN.

Je trouve ça bizarre. Qu'en pensez-vous ?

Merci pour vos réponses.

Ciao

[-rem-]

C'est un scan de ports... Courant sur le net, avec le haut debit. Rien a craindre si le pc connecte a internet est sur, avec un bon iptables bien configure.

[etiennegaloup]

Ok merci,

Y a-t-il moyen à partir de mes logues de détecter ou de prévenir une éventuelle intrusion ?

Merci...

[-rem-]

Y a-t-il moyen à partir de mes logues de détecter ou de prévenir une éventuelle intrusion ?

tu l'as detecte la non ?

Prevenir, c'est le role de ton firewall ca ethienne...Si personne ne peut rentrer, y aura pas de souci... tu fais du p2p ?

[tuXXX]

pour pénétrer un PC sous linux, faut vraiment en vouloir...

par exemple, qu'il fasse un brute force sur un ssh ou qu'il pirate le ssh par une faille de sécurité...

(pareil pour tous les serveurs, qui peuvent tous avoir une faille exploitable)

Mais à part ça... on est pas sous windows

[etiennegaloup]

D'accodac,

oui, c le rôle de mon firewall, mais je me demandais si selon l'en-tête de certains paquets, on pouvait se dire, "tiens, lui il a réussi à passer mon firewall"

Non, non, je ne fais pas de p2p, c illégal. En fait, je me suis fait choppé, donc ça m'a un peu calmé...

[tuXXX]

Oui, mais à priori, on peu pas passer le pare-feu (enfin ça dépend de la config, mais bon...)

tu peut logger les accès ssh, si il est ouvert... à priori, c'est le plus critique

(ou bien bloquer l'accès depuis le net, c'es selon)

[Sandeman]

installe snort (THE détecteur d'intrusion) et une interface permettant de l'exploiter (Acid, par exemple)

attends toi à des logs encombrants ....

[etiennegaloup]

Ok merci, je fais ça de suite...

[-rem-]

ouais, mais je ne suis pas sur que ca soit top, pour le moral.

Dis toi qu'un firewall bien configure te protegera, et comme dit tuxxx, tu n'est pas sous windaube, ca ne risque pas grand chose. Si tu veux acceder a ton pc de l'exterieur, laisse que qq ports ouverts ( http, https, ssh ) et ca sera nickel, des failles de securites sous apache ou ssh2 ca court pas les rues ( sauf dans les versions alpha ) et en plus il faut qu'un mec ai le niveau de les exploiter, sur ta achine, et pour faire quoi ??? Ca restreint dragstiquement les risques attaques.

Et si tu n'as pas de serveur web, et ne compte pas acceder a ta machine de l'exterieur, dans ce cas, tu coupes tout ce qui entre et la c'est regle.

ps: comment ca s'est passe le fait de se faire pins'er sur le p2p ? Y a eu des csq graves ?

un ex p2p-riste.

[volk]

sinon il y a toujours portsentry...qui permet de détecter les scans et de désactiver momentanément certaines ip....

portsentry peut aussi essayer de répondre de manière plus musclé mais c'est un usage imprudent et déconseillé :)