後々スクリプトにしたりするためのメモ
参考
ArchWiki
Man page of iptables
Man page of iptables-extension
rootかチェック
iptables.sh
if [ `whoami` != 'root' ]; then
echo 'plz execute as root user'
fi
初期化
iptables.sh
iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -N TCP
iptables -N UDP
接続確立済み
iptables.sh
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ループバック
iptables.sh
iptables -A INPUT -i lo -j ACCEPT
INVALID状態の接続
iptables.sh
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
ICMPエコー
参考ページではACCEPTだけど、個人的にDROPがいいので変更。
つまり書かなくてもいい気が。
iptables.sh
iptables -A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j DROP
TCP・UDPの新規接続要求
それぞれ、TCPテーブル、UDPテーブルに渡す。
SYNフラグがないTCP新規接続はないらしい。
iptables.sh
iptables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
接続拒否するTCP、UDPパケットへの対応
ポートが開いてなかったTCPパケットにはTCPRESETを返す。
UDPはICMP port unreachableメッセージを返す。
のが、LinuxでRFCに従った動きと記載されているが、DROPでいい気もする。
拒否するようなパケットを送ってきた奴なので、アドレスを保存しておく。
iptables.sh
iptables -A INPUT -p udp -m recent --set --name UDP-PORTSCAN -j DROP
iptables -A INPUT -p tcp -m recent --set --name TCP-PORTSCAN -j DROP
TCP・UDP以外のパケットへの対応
上と同様にREJECTがRFCに従った動きみたいだが、DROPでいい気がする。
iptables.sh
iptables -A INPUT -j DROP
TCPテーブル
SSH
ブルートフォース対策があるので、そちらのテーブルにとばす。そのテーブルの中身は別途記載。
また、SSHのポートは変更してるので気を付ける。
iptables.sh
iptables -N IN_SSH
iptables -A TCP -p tcp --dport 22 -m conntrack --ctstate NEW -j IN_SSH
HTTP(S)
iptables.sh
iptables -A TCP -p tcp --dport 80 -j ACCEPT
iptables -A TCP -p tcp --dport 443 -j ACCEPT
攻撃対策
ポートスキャン
例ではTCPRESET、ICMPでREJECTしているがDROPにした。
iptables.sh
iptables -I TCP -p tcp -m recent --update --seconds 60 --name TCP-PORTSCAN -j DROP
iptables -I UDP -p udp -m recent --update --seconds 60 --name UDP-PORTSCAN -j DROP
SSHブルートフォース
接続の記録名が統一されてなかったので修正した以外は例そのまま。
10秒以内に3回、1800秒以内に4回以上接続を試みた場合DROPする。
rttlオプションをつけることで、送信元アドレスを偽装してもTTLで判断するらしい誤検知こわいがアリか。
iptables.sh
iptables -A IN_SSH -m recent --name SSH-BF --rttl --rcheck --hitcount 3 --seconds 10 -j DROP
iptables -A IN_SSH -m recent --name SSH-BF --rttl --rcheck --hitcount 4 --seconds 1800 -j DROP
iptables -A IN_SSH -m recent --name SSH-BF --set -j ACCEPT
保存する
iptables.sh
iptables-save > /etc/iptables/iptables.rules
とりあえず参考サイト分終わり。
DDoSへの対策をそのうち調べて更新する。
おしまい。