iptables LOG und syslogd

Message

sumsi · #1 Post by **sumsi** » 18. Sep 2007 8:10

Hallo, ich habe folgedes Problem .. und zuwenig Ahnung

Ich habe ein (fertiges) Firewall-Script vom IPCop, welches Portscanns loggen soll:

Auszug:

Chain BADTCP &#40;2 references&#41;
 pkts bytes target     prot opt in     out     source               destination         
    0     0 PSCAN      tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;0x3F/0x29
    0     0 PSCAN      tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;0x3F/0x00
    0     0 PSCAN      tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;0x3F/0x01
    0     0 PSCAN      tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;0x06/0x06
    0     0 PSCAN      tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;0x03/0x03
    0     0 NEWNOTSYN  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags&#58;!0x17/0x02 state NEW

Code: Select all

Chain PSCAN &#40;5 references&#41;
 pkts bytes target     prot opt in     out     source               destination         
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           limit&#58; avg 10/min burst 5 LOG flags 0 level 4 prefix `TCP Scan? '
    0     0 LOG        udp  --  *      *       0.0.0.0/0            0.0.0.0/0           limit&#58; avg 10/min burst 5 LOG flags 0 level 4 prefix `UDP Scan? '
    0     0 LOG        icmp --  *      *       0.0.0.0/0            0.0.0.0/0           limit&#58; avg 10/min burst 5 LOG flags 0 level 4 prefix `ICMP Scan? '
    0     0 LOG        all  -f  *      *       0.0.0.0/0            0.0.0.0/0           limit&#58; avg 10/min burst 5 LOG flags 0 level 4 prefix `FRAG Scan? '
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

Das machts aber nicht oder nur sehr selten, werfe ich nmap auf die Netzwerkkarte an

Kennt sich Einjemand gut damit aus und kann mir sagen, warum
- in der /var/log/messages nicht oder extrem selten Scanhinweise auftauchen?
- die syslodg nicht darufhin auf kern.info ablässt?

Viele Grüsse
sumsi

Alan · #2 Post by **Alan** » 23. Mar 2008 18:48

Tja,
zwar schon älter der Beitrag, aber naja:

In der BADTCP wird als Match in jeder Regel das TCP Protokoll angegeben.
In der PSAN Chain soll dann unterschieden werden zwischen TCP, UDP und ICMP ?

Da kann eigentlich nie "UDP-Scan?" oder"ICMP-Scan?" erscheinen, und "FragScan?" nur, wenn beim vorher abgefragten Flag im TCP noch zusätzlich opt=-f ist.

Obs nen bug ist?