netstat marny wynik

[soban_]

Przy wywolaniu polecenia na Gentoo:

[Jacekalex]

[soban_]

No wszystko fajnie, ale musze jakos listowac liste polaczen + ip - bo albo zedytuje ten skrypt: http://deflate.medialayer.com/ ktory dziala z APFem i do tego wlasny skrypt napisalem - np zeby moich ludzi z ftpa nie wykopywalo - przy przekroczeniu za duzej ilosci polaczen, albo wszystko pisac musze od nowa sam. Zedytuje ta wiadomosc i napisze czy pomoglo z cofnieciem sie z wersja (jak widac wyzej i tutaj):
Kod:
qlist -ICvUq net-tools
sys-apps/net-tools-1.60_p20120127084908 nls
co do skryptu ktory podalem wyzej to skutecznie broni ataki DoS - dlatego musze miec poprawnie dzialajace to polecenie.
//EDIT
zrobilem downgrade do wersj sys-apps/net-tools-1.60_p20110409135728 - jednak efekt jest ten sam. Gwoli scislosci polecenie wykonuje sie poprawnie - jednak pokazuje baaaardzo mala ilosc polaczen np po UDP. Moze tkwic przyczyna w kernelu? Najbardziej mnie to zastanawia ze iftop -p -P -n -N pokazuje ladnie, duza ilosc polaczen... Tutaj jest konfiguracja kernela - ktorego uzywam. Czy jest mozliwosc ze netstat korzysta z jakies aplikacj wspomagajacej ktorej np brakuje dowiazania?

[Jacekalex]

Widzialeś kiedyś mana ss?
bo u mnie w przypadku

[soban_]

[Jacekalex]

@Soban

Czy naprawdę chcesz pobić rekord lamerstwa?

WSZYSTKIE połączenia tcp i udp trafiają do systemu śledzenia połączeń netfiltera, który widać w wyniku

[soban_]

[Jacekalex]

Czy chcesz mi wmówić, że nie ma żadnego sposobu na dozbrojenie serwera FTP?
Żadnego sposobu na limitowanie pasma, plików przesyłanych, liczby maks połaczeń, itp?

Albo port do sprawdzania licencji TSa?
Akurat TSa nie znam, ale tam leci TCP czy UDP?
Ile razy na sekundę musi każdy pacjent sprawdzać licencję TSa?
Przecież, jeśli jeden port jest do sprawdzania licencji, a każdy np gracz musi tą licencję sprawdzic np raz na 5 minut, to tu aż się prosi o użycie modulu hashlimit albo recent, który będzie wpuszaczal np 20 razy na godzinę (hashlimit), albo raz na 5 minut (recent), z jednego IP.
Tu masz przykład recent:
http://www.drzewo-wiedzy.pl/?page=artykul&id=210&Wykorzystanie_iptables_do_blokowania_atak%C3%B3w_typu_Brute_Force_SSHSCAN
A o hashlimit masz moje regułki w wątku o syn-flood.

Atak na bazę danych przez TSa? chodzi Ci o siłowy atak dotyczący logowania, kiedy TS sprawdza w Sql milion rerkórdów na minutę?

Czy ten TS w jakikolwiek sposób loguje podejrzane działania, żeby dało się "wygrepować "z logu co trzeba?

Bo Fail2bana też można skonfigurować, żeby poprawić jego skuteczność.

I ciągle jest za malo danych, zeby coś sensownego wykombinować samym TSem.
Żeby zabezpieczyć jakąś usługę, musisz w miarę dokladnie rozgraniczyć, co robi normalny użytkownik, co robi skrypciarz, który próbuje uwalić serwer, i wyznaczyć na tej podstawie granicę tego, na co pozwalalsz, a na co nie pozwalasz.

I nie tylko Firewall tu jest, być moze kolejki zarządzające pasmem i priorytetami usług pomogą trochę na zapychanie TSa?

Zalezy do tego, czy to uprawnieni użytkownicy zapychają serwer, czy jacyś skrypciarze.
Ale musisz się nauczyć rożróżniać jednych i drugich, a potem wziąść jednych i drugich na smycz, żeby nie mogli za bardzo rozrabiać.

Pozdrawiam

[soban_]

[Jacekalex]

[SlashBeast]

Tak bardzo odeszliscie od pierwotnego tematu.

Anyway, @Soban tak bardzo kombinujesz, chcesz skryptem sprawdzac ilosc aktualnych polaczen, jakies awk, grepy, cuda. Iptables od tego jest, by to limitowac.

--
Moved from Polskie forum (Polish) to Polish OTW.

[Jacekalex]

[soban_]

@SlashBeast - oczywiscie masz racje, ale zauwaz ze te wszystkie skrypty, badziewia i pierdoly ktore tu wypisuje sa oparte o iptables. Chce tylko zachowac sens uzycia do tego iptables - zeby nie przesadzic, bo wiadomo wylimitowac ja moge szybko to - ale czy moi wierni i dobrze korzystajacy z uslug ludzie nie ucierpia na tym?

@Jacekalex - no generalnie tak jak mowilem netstat i jego marne wyniki - tak jak w temacie. Ja i tak wdzieczny Ci jestem, za ilosc podpowiedzi bo na pewno duza dawke z tej wiedzy wykorzystam (jak nie bezposrednio to w skryptach), zeby nie odchodzic od tematu - masz pomysl co w kernelu (tak aby pomoc ludziom ktorzy byc moze w przyszlosci beda mieli cos podobnego z netstatem pomoc) coz to za diabelstwo w kernelu - bo to chyba w nim twki problem, moze powodowac tak marne wyniki i brak podawanyach ipikow z UDP? Wspomniales o tym ze gentoo szybciej 'cache' czysci zwiazanego z tym - a gdzie moze zmienic cus zeby ten 'cache' dluzej byl trzymany?
Juz bez kombinowania na okretke. Czemu debian daje rade, a gentoo nie - jaka jest roznica? Ewentualnie gdzie jej szukac?
_________________
gg: 525600

[Jacekalex]

Ja bym porównał wyniki

[soban_]

@Jacekalex tak, rzeczywiscie to nie ma sensu w cronie, dlatego tak jak mowie - ja np co 5 sekund wywoluje skrypt i sprawdzam w nim miedzy innymi czy ktos nie siedzi na ftp itp, albo w krytycznej sytulacji zaczynam go wywolywac - tzn sama maszyna to robi.
Ku potomnym na okretke:

[Jacekalex]

Kilometrowy wątek, żeby polecenie z crona uwalało mietka, ktory ma więcej niż XX aktywnych połączeń?
I to ma robić netstat. cat, grep?

[soban_]

No dobrze, jak skoncze dochodzic czemu tak netstat psioczyl malo IPikow to wezme sie za iptables samo w sobie. Jednak z tego co wiem, bedzie to wywalac np ludzi ktorzy wysylaja pliki na port TSa z plikami - ktore maja zostac na pokoju, no chyba ze masz pomysl jak to zalatwic bez pisania skryptow - wtedy uznam ze ten skrypt jest zbedny (moj przerobiony bo ten z cronem to porazka) i mozna sie ograniczyc do samego iptables. No i ciagle z tym cronem wyskakujesz ja Ci mowie ze nie uzywam tego w cronie d-: bo co minute to by nie mialo w ogole sensu... z reszta ja nie tylko do blokowania tego uzywam do statystyk miedzy innymi.
_________________
gg: 525600

[Jacekalex]

W iptables i xtables masz setki opcji, m in limity możliwe do dopasowania na poszczególnych protokolach i portach.
Możesz całą grupę portów potraktować limitem, możesz poszczególne porty TSa potraktować osobnymi limitami.
Także możliwości trochę jest, limity musisz dobrać empirycznie czy raczej organoleptycznie, żeby nic nie uwalało normalnego gracza, ale odwalało ataki dos.

Krótko pisząc, jeśli przeciętny gracz potrzebuje zasobów (liczba połączeń, transfer) X średnio, zapotrzebowanie poszczególnych graczy waha się +-80% X - czyli od 0,2X do 1,8X, to firewall powinien obcinać zapotrzebowanie na poziomie min 2 - 2,5X, wetdy nie będzie przeszkadzał graczom.
Podobnie limity transferu na ftp, czy innych usługach.
Chociaż przy transferze stosowałbym na twoim miejscu zasadę sprawiedliwego podziału pasma, nie wiem, jak w Ftp czy Apachu, ale na poziomie kernela realizują to moduly sfq (standardowy - powinien starczyć), albo esfq - do kompilowania, łatki na kernel i iproute.
W jaju ostatnio pojawilo się trochę nowych modułów, których jeszcze nie wybadałem.
Może tam się da coś ciekawszego też zmontować.

Ja rozumiem, że do Wowa czy TSa nigdzie gotowych regułek nie znajdziesz, ale ja stawiając serwer pocztowy i jabbera, też musialem organoleptycznie ustalić, na co pozwolić, a na co nie pozwolić.
I na razie chodzi wszystko bez kłopotu.

Nie wiem, jakiego rodzaju masz tam ataki.
Ty widzisz, że serwer przymula, bo trwa jakiś atak, ale nie tłumaczysz, bo czasem sam nie wiesz, jaki to atak.
A ataków jest XX różnych, i też różnie się je traktuje.
Można postawić IPS na bazie aktywnego snorta i guardiana, ale albo dopasujesz treguły szyte na miarę, albo przy okazji na jedengo atakującego uwali ze trzech niewinnych miśków.
Inny sposób, to logi do kolejki zrobionej przez mkfifo, a potem demon, który słucha kolejki /dev/kolejka, i na podstawie rozmaitych regexów wyciaga co trzeba, wysyłając niektórrych do ipseta, którego tablica jest przetwarzana przez netfilter -moduł set, i może być użyta do tworzenia listy dozwolonych lub zablokowanych Ipków.

Z Tsem najłatwiej by było, gdyby logowal przez Sysloga fakt logowania lub wylogowania pacjenta, razem z jego IP.
Wtedy móżnaby wykombinować sposób, zeby dostęp do kilku portow otwierał sie dla pacjentów zalogowanych do TSa.
To samo można powiedziieć o FTP, jeśli Proftpd masz przez pam-mysql, to sprawa trudna nie jest, w innycych przpadkach też nie.jest trudne.
np logowanie do ftp:

[soban_]

[Jacekalex]

Skryptów, które dzialają, sie nie pozbywaj.
Ewentualna migracja ze skryptów na rozwiązania systemowe musi być ostrożna i przemyślana, generalnie wszystkie nowe rozwiazania najpierw sprawdza się w środowisku testowym, a dopiero później, kiedy wszystko jest sprawdzone, wrzuca na serwer produkcyjny.

Poza tym, żeby używać firewalla i rozwiązań systemowych, zamiast skryptologii, musisz wbić sobie do głowy, że kombinowanie z rękodziełem artystycznym zaczynasz dopiero, jak nie ma możliwości załatwienia sprawy w prosty sposob, przy pomocy rozwiazań dostępnych w systemie.
W systemie masz calkiem ładny arsenał na najróżniejsze przypadki.

Wyjątkiem są sprawy proste, gdzie narzut systemowego rozwiązania nad skryptem jest kosztowny lub ryzykowny, np ładowanie Network-Managera, kiedy trzeba połącyć się po kablu z dhcp, czy podobne strzaly z armaty do wróbla.

Jedna uwaga na temat APF: nie jest problemem program czy skrypt do konfiguracji, o ile ten program czy skrypt pozwala wykorzystać przynajmniej 80% faktycznych możliwości demona, którym zarządza.

W przypadku iptables, najlepsze nakładki i skrypty, jakie widziałem, np moduł webmina, potrafią wykorzystać znacznie mniej możliowści, najwyżej 50 -60%.
I to czasami wystarcza, ale nie warto sie zamykać w tych 50 czy 60%, ani w żaden inny sposób się ograniczać.

Króko pisząc, jak konfigurujesz np bezpieczny system, który ma wytrzymać każdy atak, to się nie pieprzysz, tylko bierzesz najmocniejsze rozwiązania, jakie masz dostępne.
I tylko musisz opracować sposób, żeby użyć ich sensownie, bo każdym nożem możesz komornika pokroić, albo sobie kciuk odkroić .

Tutaj trzeba uważać.
Najtrudniejsze jesat wyznaczenie granicy między tym, ile możliwości potrzebuje normalny użytkownik, a co już uważasz za atak.
Ta granica jest bardzo płynna.

Logi?
Kluczone są logi atakowanej usługi, przy każdym Ftp, Apachu, Nginxie, Postfixie, Qmailu,czy Ejabberd, te demony mają najczęściej własne mechanizmy obronne, które można skonfigurować, do tego można je dopieścić firewallem albo fail2banem.
Np w Proftpd masz np mod_ban - do czasowego banowania pacjentów, którzy próbują siłowo łamać hasło.
I nawet to działa.
Nie znam natomiast serwerów Wowa, CS czy TS, właśnie wrzuciłem sobie TSa na chwilę, żeby zobaczczć, jak to wyglada, i nie widzę tutaj żadnego programu w stylu fptwho, nie widzę też, zeby cokolwiek poszlo do sysloga.

Dlatego przy próbie włamania do TSa, próbowałbym parsowania odpowiedniego loga TSa.
Najlpepiej byłoby w TSie przekierowac logi (kopię), na jakieś gniazdo czy kolejkę, gdzie może je odbierać i parsować na bierząco program monitorujący, odpalający określone akcje po spelnieniu takiego czy innego warunku, można tu użyć Swatcha, Fail2bana, czy przerobić snortowego Guardiana, albo np przyklad skryptu w pythonie, sznurek masz kilka postów wyżej.

Pozdrawiam

[soban_]

[Jacekalex]

Programy? -mają wsparcie i raportowanie błędów, moduły perla czy pythona również, rękodzieło niekoniecznie.


Webmin? fajne narzędzie do konfiguracji, można go czasem włączyć, ale idealny nie jest.
Jakieś drobiazgi można nim poprawić, ze wszystkich modułów Webmina jakie znam, tylko Bind u mnie dziala poprawnie po skonfigurowaniu wylaczni9e Webminem, ssh wolę ręcznie, OpenVPN lepiej wyszedł ręcznie, moduł do Qmaila jest w mairę dobry, Postfixa kiedyś webminem rozwaliłem w drobny mak, na szczęście miałem kopię konfigów.
Bazami Postgresa można zarządzać, do Mysql wolę PHPmyadmina.
PGAdmin też jest lepszy od Webmina.

Logi?
Jeśli cokolwiek ma otwarty kod, w którym możesz dodać swoją łatkę, to sposób na logowanie zawsze sie znajdzie, czy choćby wysyłanie komunikatu alarmowego przy błędzie logowania.
Ale jak coś ma zamknięty kod, jak TS, to tutaj już masz problem, bo producent kasę już wziął, i specjalnie dla Sobana nie będzie poprawek w kodzie robił, choćby najbardziej banalnych.
Choć oczywiście zapytać można, cuda podobno się czasami zdarzają.
Można też dziada odpalić w konsoli, i śledzić, co pluje bezpośrednio na konsolę, przepuszczajac to przez fail2bbana, swatcha, zmodyfikowany logcheck, czy coś innego, choćby własny skrypt.
Byle takie dziadostwo wisiało na linni, i reagowało natychmiast, a nie wstawło co kilka sekund albo godzin, i cośtam maszkeciło.

np:

[soban_]

[Jacekalex]

Co tam jest za CPU, ze przy ataku nie wyrabia? Pentium II?
jeśli Firewall dropuje nawet milion pakietów, toi procek specjalnie się tym nie przejmuje.
Pamięć też nie.
Jeśli natomiast jest atak na usługę, ftp, tsa, czy coś podobnego, to kombinuj z konkretną usługą, lub grupą usług, które są razem powiązane.

Jesli TS loguje jakieś bzdury, a nie loguje waznych rzeczy, to kto może coś na to poradzić?
Nie ma żadnego sposobu, zeby puscić TSa w trybie vebose na socket? jak w przykladzie z /dev/ts3?
Parsowanie tony logów daje pewne obciażenie, ale blyskawiczny ban dla atakującego powoduje, że jest to jadnak mniejsze zło.
A parsowanie tych logów przez kolejkę fifo jest tańsze pod względem obciązenia,
niż parsowanie plików z logami.
Poza tym, czy ten TS przypadkiem nie ma opcji rozłączenia kłopotliwego pacjenta?
Który potem minutkę poczeka na firewallu, na następną okazję do połączenia.
I cyz w ogóle masz w tym TSie autoryzację? czy to jest otwarty publiczny serwer?
Czy może wpuszcza tylko tych, ktorzy zalogują się prawidłowo do Wowa czy CSa?

Bo cała sprawa zaczęła się od tego, co pokazuje netstat, do wycinania pacjentów, którzy mają otwarte za dużo polączeń, a tymczasem widzę, że ani nie masz tam zrobionych priorytetów transferu, zeby TS mial wyższy priorytet od ftp, i pakiety głosowe TSa miały mniejsze opóźnienia.
I chyba nie masz porobionych limitów procka i pamięci dla poszczególnych usług, bo inaczej można by ubić pojeynczego demona, ale nie cały serwer.
A jak serwer klęka od ataku na TSa lub ftp, to zainteresuj się np cgroup albo limits.conf.

I lepiej napisz, co to za maszyna, ten serwer, bo niektóre problemy z nim masz co najmniej dziwne.

W dodatku przy pomocy skryptu do netstata raczej całego serwera nie uratujesz przed problemami.

Pozdrawiam

[soban_]

Wyedytuje Ci tego posta i napisze jaka maszyne ma znajomy - ale generalnie nie jest to badziew bo placi cos okolo 500-600zl w OVH i ma 1gb lacza. Mowie ze przy dluzszych atakach zaczyna mu sie procek mulic, u mnie zas to zalezy od jakiej strony patrzec i w co sie wali.