Hi,

0n 03/08/14@08:33 Thomas Templin told me:

> On Thursday 14 August 2003 06:46, Jürgen Fahnenschreiber wrote:
> [...]
> > Unter http://www.heise.de/newsticker/data/dab-13.08.03-002/
> > steht, das auch Linux von W32.Blaster attackiert werden kann.
> > Sollte ich mir da jetzt mit meinem SuSE 8.2 Sorgen machen?
> > Samba ist net installiert.
> > Gruß,
> [...]
> - Du hast keine Dienste auf dem Port 135 die du ins Internet 
> anbietest, da kann der Wurm auch keinen Dienst ansprechen.
> Siehe man instd und man xinetd.
> - Du hast eine Firewall die alle Ports zum Internet geschlossen hat 
> und die vielleicht sogar ICMP Echo Requests (Ping) nicht 
> beantwortet.
> - Deine internen WIndosen werden nur über einen Proxy wie z.B. 
> Squid ins Internet gelassen. Aller Trafic in das interne Netz zu 
> den Windosen geht nur über den Proxy.

Das ist hier alles der Fall, aber werden die Pakete theoretisch vom
connection tracking erkannt?

Das sieht bei mir hier so aus:

---cut---
work:~# iptables -t nat -L
...
MASQUERADE  all  --  syl.holtkamp.priv    anywhere           
MASQUERADE  all  --  mobil.holtkamp.priv  anywhere
---cut---

Das sind reine Linux Clients. 

---cut---
work:~# iptables -L
Chain INPUT (policy DROP)
...
ACCEPT     all  --  anywhere             anywhere           state
RELATED,ESTABLISHED

Chain FORWARD (policy DROP)
...
ACCEPT     all  --  anywhere             anywhere           state
RELATED,ESTABLISHED
---cut---

Mein Sohn hat hier noch eine dualboot Maschine 98/woody. Wenn ich
ihn maskieren wuerde, waere er gefaerdet oder wuerde das connection
tracking die Pakete verwerfen?

TIA.

-- 
bye maik

Hi, 0n 03/08/14@14:12 Christoph Bohm told me:

Maik Holtkamp schrieb:

...

---cut--- work:~# iptables -t nat -L ... MASQUERADE all -- syl.holtkamp.priv anywhere MASQUERADE all -- mobil.holtkamp.priv anywhere ---cut---

Das sind reine Linux Clients.

---cut--- work:~# iptables -L Chain INPUT (policy DROP) ... ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED

Chain FORWARD (policy DROP) ... ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ---cut---

Mein Sohn hat hier noch eine dualboot Maschine 98/woody. Wenn ich ihn maskieren wuerde, waere er gefaerdet oder wuerde das connection tracking die Pakete verwerfen?

TIA.

Versteh ich nicht. Natürlich sollte Dein Sohn auch über NAT ins Internet gehen. Wenn Du nicht mehr als einen Zugang zuhause hast, dann weiß ich ehrlich gesagt gar nicht, wie das auch sonst gehen sollte, dann müßtest Du ja für die Windose immer die Kabel vom Router/FW-Rechner auf die Dose umstecken...

Der geht ueber squid. squid-guard kuemmert sich dabei um die groebsten Sauereien (bitte keine META Diskussion) und seinen mail Verkehr regelt exim. News koennte er ueber leafnode machen. Solange er kein edonkey, irc, online-gaming oder sowas will, sehe ich keinen Grund seinen Rechner zu maskieren.

Die Liste mag mich schlagen, aber wenn ich mich nicht irre, sollte das msblaster-Problem einfach durch ein

iptables -A INPUT -p tcp --dport 135 -j DROP iptables -A INPUT -p udp --dport 135 -j DROP

zu erschlagen sein - unabhängig davon, welches BS der Rechner hinter der FW fährt.

Sowiel ich ueber das Teil weiss, sollte das reichen. Bei mir sind die Dienste auch nur an das intere Interface gebunden, daher sollte es eh' egal sein. Aber morgen ist es vielleicht port 4711 und uebermorgen habe ich so excessive Filterregeln, dass die Kiste nicht mehr aus dem Kreutz kommt, daher waere es gut, wenn sich einfach das connection tracking darum kuemmern wuerde ohne ein Firewallscript zu schreiben das keiner mehr ueberblicken kann. -- bye maik

On Thursday 14 August 2003 15:06, Michael Meyer wrote:

*** Thomas Templin wrote:

...

On Thursday 14 August 2003 06:46, Jürgen Fahnenschreiber wrote: [...]

...

Unter http://www.heise.de/newsticker/data/dab-13.08.03-002/ steht, das auch Linux von W32.Blaster attackiert werden kann. Sollte ich mir da jetzt mit meinem SuSE 8.2 Sorgen machen? Samba ist net installiert. Gruß,

[...] - Du hast keine Dienste auf dem Port 135 die du ins Internet anbietest, da kann der Wurm auch keinen Dienst ansprechen. Siehe man instd und man xinetd.

jep.

...

- Du hast eine Firewall die alle Ports zum Internet geschlossen hat und die vielleicht sogar ICMP Echo Requests (Ping) nicht beantwortet.

das hat gleich noch welchen sinn? und vor allem welchen sicherheitsgewinn? Keinen, ist nur eine der Möglichen Lösungen, das Buch zähl ich auch dazu. :o)

...

Sicherheit ist ein Prozess der der ständigen Kontrolle bedarf und ist nicht eine Box die man sich hinstellt und dann für alle Zeiten gesichert ist.

ACK. Dieses Grundprinzip haben die wenigsten begriffen, sagt mir meine Erfahrung... ;-)

Tschüss, Thomas

Hallo Jan, On Fri, Aug 15, 2003 at 12:54:44AM +0200, Jan Hendrik Berlin wrote:

Mich interressiert nur eins! Ist der Virus auch für ein Linux System gefährlich?

Nein, dieser nicht.

Kann mich mal einer darüber aufklären!

Selbst wenn der Wurm auch unter Linux Schaden anrichten könnte (tut er bisher ja nicht mal wirklich unter Windows) Hättest Du den Dienst (DCOM/RPC) mit ziemlicher Sicherheit _nicht_ am Laufen. Nachschauen kannst Du z.B. über netstat --inet -pan | grep 135 Also kein Grund sich Gedanken zu machen. Will heissen, wenn Du eine Firewall oben, nur sichere/benötigte Dienste laufen, ordentliche Authentifizierung eingebaut und alle Updates installiert hast. *g* Greetings Daniel -- .~. /V\ // \\ "Smile -- It irritates people." /( )\ ^^-^^

Am Sonntag, 17. August 2003 10:00 schrieb J. Schirmacher: Hallo

Am Freitag, 15. August 2003 02:33 schrieb Daniel Lord:

...

Hallo Jan,

[...]

...

Nachschauen kannst Du z.B. über netstat --inet -pan | grep 135 Wenn ich das Kommando so ^^^^ eingebe , bekomme ich auch keine Ausgabe. Aber so: majestix:/home/helmut # netstat -inet -pan | grep 135 inet Adresse:80.135.83.29 P-z-P:217.5.98.67 Maske:255.255.255.255 Achte auf das -inet. Eine Verbindung zum Internet muss dabei bestehen. Das scheint auch noch eine gute Addresse für einen Sicherheits Check. http://seccheck.onsite.ch -- MfG Helmut

Christoph Maurer wrote:

Besonders aufgeregt habe ich mich in diesem Zusammenhang über einen Bericht in den Tagesthemen von gestern, in dem so getan wurde, als wären die armen Computer-Nutzer ohne eigene Schuld und ohne Abwehrmöglichkeit von dem bösen Wurm überrascht worden...

Und das ungefaehr 4 Wochen nachdem Microsoft einen Patch ueber "Windows Update" zur Verfuegung gestellt hat. Jaja, aergerlicher Wurm das. Ich haette mal 10 EUR fuer Service und Support verlangen sollen, dann haette ich jetzt wieder ne neue CD zum abreagieren... -- Have fun, Peter