On Tue, 21 Mar 2000, Steffen Dettmer wrote:

...

kann mir jemand ein Tool nennen, welches man unter Linux bzw. anderen Unix-Derivaten zum Erkennen von Portscans einsetzen kann? scanlogd.

ACK

Komisch, daß das hier keiner postet... liegt SuSE seit 6.?? bei, aktuelle Version ist 2.0, siehe auch www.openwall/scanlogd. Erkennt auch SYN Scans usw.

Komisch, dachte, das würden hier viel verwenden...

Erkennen ja - aber auch schützen ... na ich weiss nicht ;) Wir setzen das und noch paar andere Dinge ein ;) zb. Sinus-Firewall-1 als Statefull-Firewall und/oder Packet-Filter (für einfache Setups). Mit freundlichen Grüßen, Joerg Henner. -- LinuxHaus Stuttgart | Tel.: +49 (7 11) 2 85 19 05 Jörg Henner und Adrian Reyer, Datentechnik GbR | D2: +49 (1 72) 7 35 31 09 | Fax: +49 (7 11) 5 78 06 92 Linux, Netzwerke, Webhosting & Support | http://lihas.de --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

* Joerg Henner wrote on Wed, Mar 22, 2000 at 11:25 +0100:

...

Komisch, daß das hier keiner postet... liegt SuSE seit 6.?? bei, aktuelle Version ist 2.0, siehe auch www.openwall/scanlogd. Erkennt auch SYN Scans usw.

Komisch, dachte, das würden hier viel verwenden...

Erkennen ja - aber auch schützen ... na ich weiss nicht ;)

Was soll ein Instrusion-Detection Tool denn noch machen? Automatische Gegenmaßnahmen würden den Weg zu wirkungsvollen DoS Attacken öffnen, also muß erstmal nur benachrichtig werden (wenn's wichtig ist, dann auch per SMS). Sonst fährt ein FTP mal Dein Rechenzentrum runter :) Ich arbeite da übrigens an einem Patch für scanlogd, der priviligierte separat ausweist (weil man sonst oft nur "hohe" in den Logs hat), wenn sich das mal jemand anschauen möchte, mail an mich. Ich finds ganz sinnvoll, würde aber noch ein paar andere Meinung hören wollen :)

Wir setzen das und noch paar andere Dinge ein ;) zb. Sinus-Firewall-1 als Statefull-Firewall und/oder Packet-Filter (für einfache Setups).

Das ist ja immer gut, klar, bleibt die Frage: was tun, bei Portscans (oder Dingen, die "so aussehen") ? oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

* Carsten Meyer wrote on Wed, Mar 22, 2000 at 22:01 +0100:

On Wed, 22 Mar 2000, Joerg Henner wrote:

...

Erkennen ja - aber auch schützen ... na ich weiss nicht ;)

Das Problem beim scanlogd scheint zu sein, daß bei Modem/ISDN einfach die Bandbreite nicht ausreicht. Wenn ich einen Portscan lokal ausführe ist das gute Teil zuverlässig. Bei Portscans von den bösen Leuten draußen reagiert er nicht.

Kommt ja auch auf den Scan an. Evtl. sollte man die TRESHOLD Zeiten ein bißchen erhöhen...

Hat inzwischen jemand eine Doku zum scanlogd gefunden?

o ungefähr :) chau mal unter: http://www.openwall.com/scanlogd/

Wenn ausreichend Bandbreite verfügbar ist, würde ich das machen, was ich immer mache :-) logsurfer auf die /var/log/messages ansetzen und auf den entsprechenden Eintrag warten. Ausgeführt wird dann eben ein zeitlich begrenztes DENY (ipchains) auf die Quell-IP.

Sehr schön: Dann mache ich jetzt einfach scans, und spoofe die IPs Deiner wichtigesten Kunden, dann sperrst Du die aus - da brauch ich gar keinen DenialOfService mehr fahren :) Also: SO eben nicht. NIE automatisch... Gerade mit FTP kann mal viel falsch machen/denken/sehen... Deswegen auch mein Patch (der zwischen Benutzer und Priviligierten Ports unterscheidet), das hilft ein ganz kleines bißchen, immerhin, man kann einen scan nicht mehr hinter einer FTP-"Simulation" verstecken (Ich habe auf den FTP Servern viele FTP-Transfers, die ja vom scanlogd logischerweise als scan geloggt werden). oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

* Martin Stahn wrote on Fri, Mar 24, 2000 at 10:04 +0100:

Hi,

Steffen Dettmer wrote:

...

Sehr schön: Dann mache ich jetzt einfach scans, und spoofe die IPs Deiner wichtigesten Kunden, dann sperrst Du die aus - da brauch ich gar keinen DenialOfService mehr fahren :) Also: SO eben nicht. NIE automatisch...

Immer Automatisch, oder sitzt Du 24std. vor Deiner Firewall?

Nein, deshalb auch die Message begrenzung auf SMS Größe (scanlogd 2.0).

Um das Problem mit den Kunden zu umgehen kann man eine liste der IP Adressen fuehren, die sich nicht aussperren duerfen.

Wenn Du weißt, was welche IP Addresse darf, und was nicht, solltest Du einfach Deine Firewall entsprechende konfigurieren. Aber manche müssen anonymes FTP (für's gesammte Internet) zulassen, und es gibt auch Leute, die sich über dynamische IPs einwählen...

Desweiteren kann man gespoofte Packet schon auf routern rausfiltern etc.

Ja, unter ganz gewissen Umständen kann man ein paar "richtig mächtig falsche" Packete filtern, aber normalerweise hat man auf einer Seite eines Routers immer die Internetseite (mal von Netzen ohne Internetverbindung abgesehen), z.B. einen masquerading machenden Host oder sowas. Da kannst Du dann keine gespooften Packet mehr erkennen und filtern. Man kann in einem solchen Fall leider nicht nur 99% der Spoofs nicht erkennen, sondern auch noch die interessanten 99% :) Korrigier' mich, wenn ich falsch liege.

Aber dafuer nimmt man beim besten willen nicht scanlogd, sondern schreibt sich selbst was ;-)

Richtig, scanlogd logt scans und filtert keine Packete - oder was meintest Du ? oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com