Forum Debian Users Gang

Novi-cjusz · 2015-04-14 18:39:19

Na moim Wheezzy uruchomilem restrykcyjny skrypt iptables z regula logowania. Skrypt dziala.
Problem jest w odczycie ktory w wersji natywnej jest absolutnie niefunkcjonalny.Sciagnolem z tej strony: http://www.mirrorservice.org/sites/downloads.sourceforge.net/l/li/lila/ plik lila-1.0.tar.gz
Rozpakowalem a tam plik lila.pdf z procedura instalacji, ktora zmusza mnie do zwrocenia sie do Was o pomoc.
Jak tego log analizera zainstalowac?
Prosze o kilka slow pomocy, i kilka kolejnych krokow instalacji.
A moze jest inny program o podobnym dzialaniu?

Jacekalex · 2015-04-15 00:39:20

Ulogd (gada z bazami {My|Postgre}sql) + jakieś GUI - był kiedyś Nulog.

Poza tym szkoda tych logów czytać, jak cię coś interesuje, to zrób regułki, żeby dodawał pacjentów do tablic ipseta, wtedy zawsze będziesz miał listę pod ręką. D

Np:

Kod:

ipset list wypad
Name: wypad
Type: hash:net
Revision: 4
Header: family inet hashsize 1024 maxelem 65536 timeout 3600
Size in memory: 17984
References: 4
Members:
193.189.246.45/43 timeout 1603
58.215.228.188/40 timeout 31
122.141.251.42/37 timeout 81337
43.255.191.162/42 timeout 1209
222.186.51.165/45 timeout 2373
198.57.214.48/44 timeout 2316
196.201.241.34/34 timeout 80506
94.100.31.179/41 timeout 63

Sznurek:
https://forum.dug.net.pl/viewtopic.php?pid=269383#p269383

PS.
Jak chcesz na żywo, to łatwiej będzie śledzić aktywne połączenia, do tego jest [b]iptstate[/b].

Ostatnio edytowany przez Jacekalex (2015-08-09 13:55:07)

Novi-cjusz · 2015-04-18 16:19:16

ze wzgledu na czas zapoznalem sie z iptstate. Wrazenia mieszane poniewaz pozwala tylko na pasywne:
- biezaca obserwacje
- filtrowanie
- sortowanie
Brakuje mi zzutu do logu, narzedzi graficznej wizualizacji logow.
Przy tej okazji pojawil sie pomysl "wszechstronnego narzedzia kontroli ruchu sieciowego" na ktore skladalo by sie:
- graficzna prezentacja aktualnych regol iptables - Google "iptables rules visualization"
- graficzna prezentacja aktualnego ruchu sieciowegonp na mapach Google
- logowanie wyniku dzialania okreslonych regol iptables np, DROP czy bogus czy okreslony kierunek.
- graficzna prezentacja logow iptables - Google " iptables logs + visual presentation"
Jaka to by byla frajda odpalic maszyne a tu ekran z aktualnymi polaczeniami na mapach Google, oraz adresy zrodlowy i docelowy, protokoly, porty.
Zmiana regol iptables i odpowiadajaca jej automatyczna zmiana grafu - wartosc edukacyjna ogromna.
Otwarcie vizualizacji logow i widac: ataki, niepozadanych gosci z USA, Niemiec czy Chin.
Gdybym umial to bym sam to zrobil, ale niepredko.
Na forum jest tylu wspanialych ludzi, moze ktorys z nich?

-

Ostatnio edytowany przez Novi-cjusz (2015-04-18 16:21:05)

Jacekalex · 2015-04-18 16:28:11

Logi Firewalla, wizualizacja?

Lubisz oglądać kilka tys komunikatów dziennie?

Ja wolę widzieć, co przepuszcza, a do oglądania i studiowania wolę pewną panią. ;)

Dlatego odpalam iptstate w trybie adresu docelowego, wchodzę na jakiś skaner portów, (w internecie jest kilka), da się też Nmapem czy Nessusem z innego kompa, i dokładnie widzę, co się dzieje.

Do tego mały skrycik do szybkiego podglądu na żywo (u mnie siedzi sobie jako [b]/usr/local/bin/dport[/b] ):

Kod:

#!/bin/bash

declare ROUTEIP=$(which ip);
declare GAWK=$(which awk);
declare ADRES=$(for karta in `$ROUTEIP r s | $GAWK '$1 == "default" {print $5}'`; do  $ROUTEIP r s |$GAWK -v DUPA=$karta '$3==DUPA {print $9}'; done;);
### sleep 1;
### echo "Moje IP to $ADRES";
/usr/bin/sudo  /usr/sbin/iptstate -f -d ${ADRES};

Do tego w [b]/etc/sudoers[/b] (edycja tylko poleceniem [b]visudo[/b]):

Kod:

(root) NOPASSWD: /usr/sbin/iptstate

i gotowe.

Jak koniecznie lubisz kolorowe wykresy, to [b]Psad[/b] potrafi rysować takowe przez [b]GNUPlota[/b], można też na necie znaleźć trochę skryptów do [b]MRTG[/b].

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-04-18 16:42:28)

Novi-cjusz · 2015-04-18 17:02:31

Skutecznie zorganizowales mi ten weekend ):)
Dziekuje.

Ps. Jestem szczegolnie zainteresowany wyproszeniem z domu "nieproszonych gosci" ktorzy sa bardzo nachalni. Przy standardowym uzytkowaniu kompa juz po 1 tyg przegladarka "puchnie" i musze przywracac.

Jacekalex · 2015-04-18 17:09:00

W ogóle nie rozumiem, jakich "nieproszonych gości".

Mam dwa firewalle w systemie (zarządzane przez Iptables i Nftabies),
Do tego, jakby była taka potrzeba, to mogę sobie naskrobać trzeciego Firewalla (Grsecurity RBAC - reguly bind i connect), ale mrówek w kompie nie mam, także na razie mi to nie potrzebne.

Do tego wyjście do neta filtruję przy pomocy modułu cgroup do Netfiltera (Iptables), także problemów z siecią i intruzami nie mam w ogóle.

Ostatnio edytowany przez Jacekalex (2015-04-18 17:09:34)

Novi-cjusz · 2015-04-18 17:14:13

Noo, tak daleko to jeszcze nie zaszedlem.
Wyskrobalem sobie restrykcyjne iptables z logowaniem, ale cos jest nie tak bo mnie odcielo od Sieci.

Kod:

iptables -F
iptables -N LOGGING
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 33445 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 33445 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT
iptables -A INPUT -j LOGGING
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables"
iptables -A LOGGING -j DROP
iptables -A INPUT -j LOG -m limit --limit 10/hour --log-prefix "PODEJRZANY INPUT: "
iptables -A FORWARD -j LOG -m limit --limit 10/hour --log-prefix "PODEJRZANY FORWARD: "

Ostatnio edytowany przez Novi-cjusz (2015-04-18 17:38:17)

Jacekalex · 2015-04-18 17:30:26

Wygląda na to, że w ogóle nie rozumiesz zasady działania Firewalla.

Kod:

iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

Po co Ci takie reguły?

Przecież to już nie jest Ipchains z Linuxa 2.2, tylko Netfilter, Firewall z kontrolą stanu pakietu, który śledzi bieżące polączenia.

Kod:

iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Cały Firewall na desktopa, który skutecznie zamyka wszystkie porty dla ruchu przychodzącego z sieci.

Jak wystawiasz jakiegoś demona, np SSH, WWW, Torrenta czy FTP do netu, to wtedy otwierasz dla niego port, nigdy wcześniej.

Zamiast tych bzdurnych inputów, masz moduł CONNTRACK, który odpowiada za śledzenie połączeń, tych samych, które pokazuje [b]iptstate[/b].

Ta reguła:

Kod:

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

zastępuje te wszystkie durnowate inputy, bo po prostu w tablicy conntrack Netfiltera jest info o każdym połączeniu, wraz z informacją, skąd się wzięło, z sieci czy z lokalnego procesu na kompie.

Zawartość tablicy conntrack możesz zobaczyć na własne oczy:

Kod:

cat  /proc/net/ip_conntrack

Wyświetla ją też np [b]iptstate[/b], [b]netstat[/b], [b]ss[/b] -z pakietu [b]iproute2[/b], i diabli wiedzą, ile jeszcze programów.

Możesz się też pobawić Snortem, do niego jest ładny skrypt php BASE, tu masz dość świeży opis:
http://computer-outlines.over-blog.com/article-nids-snort-barnyard2-apache2-base-with-ubuntu-14-04-lts-123532107.html

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-04-18 18:39:21)

Novi-cjusz · 2015-04-18 17:44:22

Ucze sie (sam!) dopiero, a to juz cos.
Te ascetyczne zapisy regolek nie ulatwiaja nauki. Ludzie 70% wiedzy przyjmuja oczami, a zrozumialych graficznych tutoriali jak na lekarstwo. Sprawdzilem juz chyba caly Internet. Potrzebne jest cos :logicznego, skojarzeniowego,kolorowego - wtedy i skrypt bedzie inny
.
Tu jest druga propozycja firewalla

Kod:

#!/usr/bin/env bash

#############################
# SETUP
#############################

# Define your hostname
NEMO=123.456.789.012

# Clear all rules
/sbin/iptables -F

# Don't forward traffic
/sbin/iptables -P FORWARD DROP 

# Allow outgoing traffic
/sbin/iptables -P OUTPUT ACCEPT

# Allow established traffic
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 

# Allow localhost traffic
/sbin/iptables -A INPUT -i lo -j ACCEPT

#############################
# MANAGEMENT RULES
#############################

# Allow SSH (alternate port)
/sbin/iptables -A INPUT -p tcp --dport 2222 -j LOG --log-level 7 --log-prefix "Accept 2222 alt-ssh"
/sbin/iptables -A INPUT -p tcp -d $NEMO --dport 2222 -j ACCEPT 

#############################
# ACCESS RULES
#############################

# Allow web server
/sbin/iptables -A INPUT -p tcp --dport 80 -j LOG --log-level 7 --log-prefix "Accept 80 HTTP"
/sbin/iptables -A INPUT -p tcp -d $NEMO --dport 80 -j ACCEPT 

# Allow two types of ICMP
/sbin/iptables -A INPUT -p icmp -d $NEMO --icmp-type 8/0 -j LOG --log-level 7 --log-prefix "Accept Ping"
/sbin/iptables -A INPUT -p icmp -d $NEMO --icmp-type 8/0 -j ACCEPT
/sbin/iptables -A INPUT -p icmp -d $NEMO --icmp-type 8/0 -j LOG --log-level 7 --log-prefix "Accept Time Exceeded"
/sbin/iptables -A INPUT -p icmp -d $NEMO --icmp-type 11/0 -j ACCEPT

#############################
# DEFAULT DENY
#############################

/sbin/iptables -A INPUT -d $NEMO -j LOG --log-level 7 --log-prefix "Default Deny"
/sbin/iptables -A INPUT -j DROP

Chcialbym rozbudowac funkcje logow (zeby bylo co ogladac)

Kod:

root@debian:/home/lucas# cat  /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
root@debian:/home/lucas#

Ostatnio edytowany przez Novi-cjusz (2015-04-18 18:21:59)

Jacekalex · 2015-04-18 18:42:30

Nie masz pliczku /proc/net/ip_conntrack? dziwne.

Kod:

ls -l   /proc/net/ip_conntrack
-r--r----- 1 root proc 0 04-18 18:40 /proc/net/ip_conntrack

PS.
I nie wiem, czy zauważyłeś, ale ten drugi skrypt dotyczy serwera WWW,
a nie dektopa.
Na desktopach bez powodu nie otwiera się portów SSH czy WWW,
nie ma też potrzeby wpuszczania żadnych pakietów ICMP.

A do oglądania lepsza byłaby jakaś Asia, Kasia, Zosia albo Gosia. ;)

SOA#1

Ostatnio edytowany przez Jacekalex (2015-04-18 18:47:09)

Novi-cjusz · 2015-04-18 18:55:20

Juz jest

Kod:

root@debian:/home/lucas# cat  /proc/net/ip_conntrack
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=47261 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=47261 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=32907 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=32907 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=55822 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=55822 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=49031 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=49031 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=55522 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=55522 [ASSURED] mark=0 use=2
udp      17 111 src=192.168.0.182 dst=192.168.0.1 sport=38500 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=38500 [ASSURED] mark=0 use=2
udp      17 133 src=192.168.0.182 dst=192.168.0.1 sport=37833 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=37833 [ASSURED] mark=0 use=2
udp      17 111 src=192.168.0.182 dst=192.168.0.1 sport=45707 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=45707 [ASSURED] mark=0 use=2
unknown  2 348 src=192.168.0.182 dst=224.0.0.22 [UNREPLIED] src=224.0.0.22 dst=192.168.0.182 mark=0 use=2
udp      17 141 src=192.168.0.182 dst=192.168.0.1 sport=46191 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=46191 [ASSURED] mark=0 use=2
udp      17 142 src=192.168.0.182 dst=192.168.0.1 sport=50581 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=50581 [ASSURED] mark=0 use=2
udp      17 133 src=192.168.0.182 dst=192.168.0.1 sport=59178 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=59178 [ASSURED] mark=0 use=2
udp      17 111 src=192.168.0.182 dst=192.168.0.1 sport=41835 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=41835 [ASSURED] mark=0 use=2
udp      17 142 src=192.168.0.182 dst=192.168.0.1 sport=55263 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=55263 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=49891 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=49891 [ASSURED] mark=0 use=2
tcp      6 431992 ESTABLISHED src=192.168.0.182 dst=88.221.222.88 sport=51295 dport=80 src=88.221.222.88 dst=192.168.0.182 sport=80 dport=51295 [ASSURED] mark=0 use=2
udp      17 133 src=192.168.0.182 dst=192.168.0.1 sport=51047 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=51047 [ASSURED] mark=0 use=2
tcp      6 87 TIME_WAIT src=192.168.0.182 dst=46.105.189.254 sport=49314 dport=443 src=46.105.189.254 dst=192.168.0.182 sport=443 dport=49314 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=44197 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=44197 [ASSURED] mark=0 use=2
udp      17 133 src=192.168.0.182 dst=192.168.0.1 sport=44597 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=44597 [ASSURED] mark=0 use=2
udp      17 29 src=192.168.0.8 dst=224.0.0.251 sport=5353 dport=5353 [UNREPLIED] src=224.0.0.251 dst=192.168.0.8 sport=5353 dport=5353 mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=52682 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=52682 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=49740 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=49740 [ASSURED] mark=0 use=2
udp      17 112 src=192.168.0.182 dst=192.168.0.1 sport=45176 dport=53 src=192.168.0.1 dst=192.168.0.182 sport=53 dport=45176 [ASSURED] mark=0 use=2
root@debian:/home/lucas#

Na desktopach bez powodu nie otwiera się portów SSH czy WWW,
nie ma też potrzeby wpuszczania żadnych pakietów ICMP[/quote]
Usune te regolki ze skryptu i bedzie O,k

A do oglądania lepsza byłaby jakaś Asia, Kasia, Zosia albo Gosia. ;)[/quote]
Juz sie naoogladalem, iptables ciekawsze...

Ostatnio edytowany przez Novi-cjusz (2015-04-18 18:58:31)

------------------------------------------------------------------------------------
"Inveniam viam aut faciam" : I will either find a way, or I shall make one
"Złoto to pieniądz królów, srebro to pieniądz dżentelmenów, barter to pieniądz chłopów ale dług to pieniądz niewolników."

Offline

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00108	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.16.135.225' WHERE u.id=1
0.00077	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.16.135.225', 1728222522)
0.00054	SELECT * FROM punbb_online WHERE logged<1728222222
0.00064	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27279 AND t.moved_to IS NULL
0.00022	SELECT search_for, replace_with FROM punbb_censoring
0.00388	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27279 ORDER BY p.id LIMIT 0,25
0.00116	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27279
Total query time: 0.00844 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-04-14 18:39:19

Novi-cjusz - Użytkownik

IPtables log analyzer

#2 2015-04-15 00:39:20

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

#3 2015-04-18 16:19:16

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

#4 2015-04-18 16:28:11

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

Kod:

#5 2015-04-18 17:02:31

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

#6 2015-04-18 17:09:00

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

#7 2015-04-18 17:14:13

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

Kod:

#8 2015-04-18 17:30:26

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

Kod:

Kod:

Kod:

#9 2015-04-18 17:44:22

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

Kod:

Kod:

#10 2015-04-18 18:42:30

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

#11 2015-04-18 18:55:20

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

Kod:

#12 2015-04-18 19:01:46

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

#13 2015-04-18 19:14:15

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

#14 2015-04-18 19:30:05

uzytkownikubunt - Zbanowany

Re: IPtables log analyzer

#15 2015-04-18 19:36:21

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

#16 2015-04-19 08:41:14

morfik - Cenzor wirtualnego świata

Re: IPtables log analyzer

#17 2015-04-19 11:53:50

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

Kod:

#18 2015-04-19 12:11:13

Jacekalex - Podobno człowiek...;)

Re: IPtables log analyzer

Kod:

Kod:

Kod:

#19 2015-04-19 12:33:15

Novi-cjusz - Użytkownik

Re: IPtables log analyzer

Kod:

Kod:

Kod:

Kod: