"Port scan" stanje na IPv4 omrežju

Tisti ki ne posodablja ne hypervizor, ne operacijski sistem se tudi ne bo sekiral zaradi hipotetične možnosti 'preskakovanja'.

Tisti, ki ga resno skrbi, pa mislim da je posodobil kar se je posodobiti dalo.

Veliko je bilo govora o teoretični možnosti....ne vem pa, če se je sploh kdaj pojavil kakšen exploit 'in the wild'.
Mislim, da je vse skupaj bilo na nivoju raziskovalne/akademske sfere, tako da se je kar nekaj stvari 'pokrpalo' na strani operacijskih sistemov, še predenj je kdo stuhtal kakšno praktično varianto exploita.
Se pa lahko tudi motim, ampak mislim, da bi bila res huda štala, če bi naokrog krožila uporabna exploit koda.

Kot rečeno, pa govoriš o 'napadu' in če ta prihaja od zunaj, mora nekdo preko firewall-a kot vstopne točke poslati določen promet do nekega ranljivega naslova. Torej bi v tem primeru potencialno lahko že IPS zaznal vzorec problematičnega prometa in povezavo prekinil še predenj bi lahko naredil kakšno škodo.

Pa tudi če si zamisliš, da boš nekaj injiciral...verjetno bo na koncu cilj, da boš nekje lahko odprl remote shell. Če striktno filtriraš promet v obe smeri, bi načeloma moral zaznati tak remote shell. Da bi pa injiciral neko kodo, da bi potem lahko upravljal požarno pregrado... no, ko bo tak exploit znan, me obvesti....

Veliko exploitov je 'teoretično izvedljivih', vendar za praktično zlorabo potrebujejo celo vrsto izpolnjenih dodatnih pogojev. Prav je, da vemo, da teoretično se moramo bati tega in onega in se temu potem skušamo izogibati. Istočasno pa ta teoretična spoznanja poskrbijo tudi za učvrstitev / krpanje sistemov.

Kolikokrat je bil že rompompom glede nekega exploita...potem si se pa malo poglobil, pa je izpadlo, da moraš biti prijavljen v sistem, da ga lahko izvedeš. Super....kot rečejo:"If an attacker got that far, than you have a far larger problem than exploit xy"

HotBurek je izjavil:

Jaz uporabljam fail2ban, torej, da po 3 napačnih poizkusih gesla na dan zapovrstjo, blokira temu ipv4/32 naslovu vse povezave na strežnik z iptables za en dan.

Kaj pa, če iščejo veljavna uporabniška imena? Primer:

Oct 6 20:12:39 host sshd[2767]: Invalid user naadmin from 193.105.134.95 port 8663
Oct 6 20:12:42 host sshd[2767]: pam_unix(sshd:auth): check pass; user unknown
Oct 6 20:12:42 host sshd[2767]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=193.105.134.95
Oct 6 20:12:44 host sshd[2767]: Failed password for invalid user naadmin from 193.105.134.95 port 8663 ssh2
Oct 6 20:12:46 host sshd[2767]: Disconnecting invalid user naadmin 193.105.134.95 port 8663: Change of username or service not allowed: (naadmin,ssh-connection) -> (dvs,ssh-connection) [preauth]

Ti naredijo po 100 poizkusov, rotirajo pa username. Gre to v Fail2ban tudi rešit?

Ne, seveda ne blokiram dostopa uporabniku (v tem primeru naadmin), ampak IP naslovu. Uporabnik naadmin se še vedno lahko prijavi iz kateregakoli naslova, le-ta naslov, ki pa je bil "izrabljen", pa ne bo delal za nobeno storitev več (dobi DROP rule v iptables). Ta iptables pravila imam začasna, ob rebootu se izbrišejo, ker pa ne rebootam prav pogosto, se dostop blokira za samo en dan. To vse hendla fail2ban.

[DEFAULT]

# "ignoreip" IP naslov, a CIDR maska podomrezja ali DNS host. Fail2ban ne
# bo blokiral teh hostov. S presledkom locimo vec gostiteljev.
ignoreip = 127.0.0.1 k.a4l.space 93.103.235.126 t.a4l.space d.a4l.space
# tukaj napises svoj racunalnik, telefon, leptop (ce imas gor kaksen DDNS softver) in njegovo domeno (vsaj tako imam jaz, ce se zatipkam)
# dodam tudi sam host (172.0.0.1 in 93.103.235.126), da se ne bi pomotoma blokiral.
# "bantime" stevilo sekund blokade
bantime  = 86400 # en dan

# host je blokiran ko doseze "maxretry" poskusov v "findtime"
# sekundnem casovnem oknu
findtime  = 3600

# "maxretry" stevilo fejlov.
maxretry = 3

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
##           sendmail-whois[name=SSH, dest=uporabnikkidobimejl, sender=fail2ban@a4l.space] ## ce imas zeljo po dobivanju nesteto e-mailov lahko tole obkljukas (melje dobivas lokalno, ko se loginas ti napise You have mail, ali pa, ce imas odjemalca (roundcube), dobis mejl na userja)
logpath  = /var/log/secure
maxretry = 5

malo poguglaj in takoj najdes. zgornji primer blokira SSH port temu IP-ju, torej lahko se vedno brska po spletni strani, mejlu, ...