blog.longkey1.net

iptables設定シェルスクリプト@CentOS5の解析メモ #1 - blog@longkey1.net
の続き。

参考教材
ファイアウォール構築(iptables) - CentOSで自宅サーバー構築

# SYN Cookiesを有効にする
# ※TCP SYN Flood攻撃対策
sysctl -w net.ipv4.tcp_syncookies=1 > /dev/null
sed -i '/net.ipv4.tcp_syncookies/d' /etc/sysctl.conf
echo "net.ipv4.tcp_syncookies=1" >> /etc/sysctl.conf

# ブロードキャストアドレス宛pingには応答しない
# ※Smurf攻撃対策
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 > /dev/null
sed -i '/net.ipv4.icmp_echo_ignore_broadcasts/d' /etc/sysctl.conf
echo "net.ipv4.icmp_echo_ignore_broadcasts=1" >> /etc/sysctl.conf

■SYN Cookies
TCP SYN flood攻撃を防ぐために開発された手法のひとつ。
SYN cookies - Wikipedia

■SYN flood
インターネットにおけるDoS攻撃（サービス拒否攻撃）のひとつ。
SYN flood

■Smurf攻撃
pingによる攻撃
Smurf攻撃とは 【Smurf attack】 - 意味・解説 ： IT用語辞典

■sysctl
カーネルパラメータを操作するコマンド。
-wで変更。
[ThinkIT] 第5回：カーネルをチューニングする (1/4)

sysctlでその場で設定。
/etc/sysctl.confに書きこんでいるのは、次回再起動時に読み込まれる為。

sed -iで、その場で編集かな？
/dとあるので、ヒットした行を削除して、echoで追加って感じなのかな？
んー、なる。
カーネルレベルでの対応なのかー。

pingによる攻撃とかしてくんなよと思うけど、それで有名サイトが落ちたら落ちたで落ちてんなよとは思うな、確かに。

# ICMP Redirectパケットは拒否
sed -i '/net.ipv4.conf.*.accept_redirects/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
    sysctl -w net.ipv4.conf.$dev.accept_redirects=0 > /dev/null
    echo "net.ipv4.conf.$dev.accept_redirects=0" >> /etc/sysctl.conf
done

# Source Routedパケットは拒否
sed -i '/net.ipv4.conf.*.accept_source_route/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
    sysctl -w net.ipv4.conf.$dev.accept_source_route=0 > /dev/null
    echo "net.ipv4.conf.$dev.accept_source_route=0" >> /etc/sysctl.conf
done

■ICMP
ICMPとは 【Internet Control Message Protocol】 - 意味・解説 ： IT用語辞典
＠IT：連載 基礎から学ぶWindowsネットワーク 第12回　TCP/IPプロトコルを支えるICMPメッセージ　2．ICMPメッセージ（1）

■ソース・ルーティング
ソース・ルーティング攻撃（－コウゲキ。Source Routing Attack）：RBB TODAY (ブロードバンド辞典)

sed -i で削除しているのは、前と同じ。
上記セキュリティ攻撃に対する、対応をそれぞれしている感じ。

下記のサイトの「13.2.2. デバイスごとの設定」でそれぞれの設定項目の説明が簡単に載っている。
/proc/sys/net/ipv4/conf/

かなり難しくなってきた。
みんな理解して設定してんのかなー？



う～難しいなあ。
全然進んで無いけど、長くなってきたのでこれまで。

続き。
iptables設定シェルスクリプト@CentOS5の解析メモ #3 - blog@longkey1.net