SelfLinux Sicherheit IP-Tables Abschnitt 11 | SelfLinux-0.13.0

| IP-Tables | Autor Formatierung GFDL

#### 14 Anhang

#### 14.1 Links/ Verweise

#### 14.1.1 Allgemein:

BSI Grundschutzhandbuch

> http://www.bsi.bund.de/gshb/deutsch/menue.htm

DFN-Cert: Firewalls - Klassifikation und Bewertung

> http://www.cert.dfn.de/team/ue/fw/workshop/workshop.html

(Computer-)Sicherheit allgemein

> http://www.ping.at/guides/sicher/

Linksammlung Hardening HowTos,

> http://www.linux-sec.net/Harden/howto.gwif.html

DFN- Vortragsfolien

> http://www.cert.dfn.de/events/ws/
> (Bericht 2002)
> http://www.cert.dfn.de/dfn/berichte/db093/

Linux-Security Quick-Start

> http://www.linuxsecurity.com/docs/LDP/Security-Quickstart-HOWTO/

Linux Security HOWTO

> http://www.linuxsecurity.com/docs/LDP/Security-HOWTO/

#### 14.1.2 Sicherheitspflege

CERT /CC Vulnerability Notes Database

> http://www.kb.cert.org/vuls

DFN-CERT

> http://www.cert.dfn.de/infoserv/

Bugtraq-Mailingliste

> http://online.securityfocus.com/archive

#### 14.1.3 Sicherheit v. Distribution

SuSE-Linux Security-Updates

> http://www.suse.com/de/security/index.html

RedHat-Linux Security-Updates

> http://www.redhat.com/apps/support/errata/index.html
> Securing and Optimizing Red Hat Linux
> http://www.linuxsecurity.com/docs/Securing-Optimizing-v1.3/

Debian-Linux Security-Updates

> http://www.debian.org/security/
> Securing Debian HOWTO
> http://www.linuxsecurity.com/docs/harden-doc/html/securing-debian-howto

#### 14.1.4 weiterführende Artikel

kleine Sammlung von Online-Artikeln

> http://www.linuxsecurity.com/docs/

Snort und Nmap, Linux-Magazin

> http://www.linux-magazin.de/ausgabe/2000/12/SnortNmap/SnortNmap.html

Tripwire-Artikel, Linux-Magazin

> http://www.linux-magazin.de/ausgabe/2001/01/tripwire/tripwire.html
> http://www.linux-magazin.de/ausgabe/2001/02/tripwire/tripwire.html
> http://www.linux-magazin.de/ausgabe/2001/03/Tripwire/tripwire.html

Firewall Handbuch für LINUX 2.0 und 2.2

> http://www.little-idiot.de/firewall/zusammen.html

#### 14.1.5 Dokumentationen außerhalb Selflinux

TCP-Wrapper

> http://www.cert.dfn.de/infoserv/dib/dib-2002-03-tcpwrapper/

SSH

> http://www.cert.dfn.de/infoserv/dib/dib-2002-01-ssh/

Distributed Denial of Service Angriffe

> http://www.cert.dfn.de/infoserv/dib/dib-2000-01.html

#### 14.2 Übersicht über die Standard-Module von IP-Tables

Modul | Beschreibung
ip_conntrack | Verbindungsverfolgung (connection tracking)
ip_conntrack_ftp | Verbindungsverfolgung für FTP
ip_conntrack_irc | Verbindungsverfolgung für IRC
ip_nat_ftp | NAT-Support für FTP
ip_queue | packet queueing (Weiterreichen an Userspace)
ipchains | ipchains Kompatibilität
ipfwadm | ipfwadm Kompatibilität
ipt_limit | Begrenzungsfilter
ipt_mac | Filter für MAC-Adressen
ipt_multiport | Filter für mehrere Ports
ipt_owner | Filter auf Paketherkunft (UID,GID,PID des lokalen Prozesses)
ipt_state | Filter für Verbindungsstatus
ipt_unclean | Filter für "komische" Pakete
ipt_tos | Filter für Type Of Service Flags
ipt_mark | Filter für MARK-Symbole (markierte Pakete)
ipt_LOG | Ziel zum Logging
ipt_MARK | Ziel für Markierung von Paketen
ipt_MASQUERADE | Ziel für Masquerading
ipt_MIRROR | Ziel zur Spiegelung, noch experimentell
ipt_REDIRECT | Ziel zum Umleiten von Paketen
ipt_REJECT | Ziel zum Zurückweisen von Paketen
ipt_TOS | Ziel für Type Of Service Flags
iptable_filter | Tabelle filter
iptable_mangle | Tabelle mangle
iptable_nat | Tabelle nat

#### 14.3 Regeln zum Verhindern eines NMAP-Scan

root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,URG,PSH -j LOG --log-prefix "NMAP-XMAS SCAN:" --log-tcp-options --log-ip-options

root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "NMAP-NULL SCAN:" --log-tcp-options --log-ip-options

root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "SYN/RST SCAN:" --log-tcp-options --log-ip-options

root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "SYN/FIN SCAN:" --log-tcp-options --log-ip-options

root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP root@linux # IPTABLES -t mangle -A PREROUTING -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP