La mayoría de los firewalls vienen pre-configurado para eliminar el tráfico en silencio en vez de rechazarla. Pero ¿cuál es la diferencia entre los dos y es realmente mejor dejar en lugar de rechazarlo? Si nunca le han dado mucha importancia a esta pregunta, la respuesta puede sorprender.

Firewall opciones de control de tráfico

Los cortafuegos suelen dar tres opciones al momento de interactuar con el tráfico, estos son:

• Aceptar - Deja que el paso de tráfico a través de
• Drop - Retire el paquete del alambre y no generan ningún paquete de error
• Rechazar - Retire el paquete del cable y volver un ICMP "Comunicación prohibida administrativamente" (ICMP tipo 3, código 13) paquete de error

Algunos servidores de seguridad son personalizables cuando se trata de rechazar el paquete que se devuelve. Por ejemplo Netfilter proporciona opciones de hacer la mirada de su puerto como cerrado al pozo de brea de la conexión. A los efectos de este post me quedo con sólo el mensaje administrativamente prohibida ya que es la más utilizada.

¿Qué sucede cuando un sistema de escaneo de puertos

Un atacante puede identificar los puertos abiertos versus cerrados en un sistema, porque cada uno responde de manera diferente a un paquete de estímulo. Cuando envío un TCP SYN paquete a un sistema, una de las siguientes va a ocurrir:

• Si el puerto está abierto un TCP SYN / ACK será devuelto
• Si el puerto está cerrado un TCP RST / ACK será devuelto

Así que si un paquete SYN / ACK se devuelve, sé que el puerto está abierto. Si un RST (reset) / ACK se devuelve, sé que el puerto está cerrado.

Ahora ampliar esto a nivel de Internet y algunas otras posibilidades que entran en juego:

• Si el anfitrión está fuera de línea un host inalcanzable ICMP será devuelto por el router de salida
• Si la red está conectada al anfitrión está fuera de línea, una red inalcanzable ICMP será devuelto por el router de salida
• Si un router o un firewall con una regla de rechazo está bloqueando la conexión, un error administrativo, está prohibido regresar
• Si el puerto está protegido por un firewall con una regla de caída, no se devuelve nada

Tenga en cuenta que sus las dos últimas posibilidades que implican el control del tráfico. Si descartar tráfico, nada se devuelve al escáner. Si rechazamos, entonces un ICMP de error se devuelve.

El mito de stealthing el servidor de seguridad

Los vendedores favor de reglas de caída por dos razones, las cuales son incorrectas. La primera es que el abandono del tráfico contribuye a "stealth" del firewall. El concepto es que, dado que el firewall está regresando sin datos, un atacante no podrá determinar que tiene un firewall. Mira las opciones de respuesta por encima de nuevo. La única vez que no se devuelve nada siempre es cuando un servidor de seguridad con una regla de caída está en el camino. Así que al dejar caer el tráfico no se stealthing el servidor de seguridad, está la publicidad. Esta es la razón de herramientas como nmap realmente reportar la sonda como "filtrado" el que nada vuelve.

Cuando me he enfrentado con los proveedores de este hecho, la respuesta es "¿Eh?" O "Ellos todavía no conoce la dirección IP de su servidor de seguridad, de modo que su todavía en sigilo". La segunda afirmación es sólo parcialmente cierto en que un atacante tendría que realizar el paso adicional de funcionamiento de una herramienta como tcptraceroute para determinar la dirección IP del servidor de seguridad.

Así que el concepto de ser capaz de sigilo de un dispositivo que interactúa con el flujo de tráfico es un mito. La coincidencia más cercana es, probablemente, la capacidad de netfilter para rechazar a través de mensajes de host inalcanzable. Si bien esto no oculta la dirección IP del servidor de seguridad, hace que el cortafuegos se parecen más a un router y ayudar a enmascarar la segmentación de la red detrás de él.

El mito de utilizar menos ancho de banda

La segunda razón a favor de los proveedores de las normas de caída es que piensan que genera menos tráfico en el cable. Esto tiene sentido lógico si no se entiende cómo los protocolos TCP / IP se comunica. En otras palabras, en la superficie de esta declaración parece racional. Mantenga los errores ICMP del alambre y se utiliza menos ancho de banda. La realidad sin embargo es que el TCP se esforzaba mucho para ser confiable. Esto significa que cuando el paquete de la primera sonda se cayó en silencio, la fuente se va a enviar a dos, posiblemente, cuatro paquetes más para volver a intentarlo. Si se suman los bits en el cable, en realidad se terminan utilizando más ancho de banda cuando se fuerza la fuente en el modo de retransmisión.

¿Qué hacen los RFC de decir?

Entonces, ¿qué método es el RFC legal, la caída o el rechazo? Si hacemos referencia RFC 1122 dice:

  3.3.8 Informe de errores

          Siempre que sea práctico, los equipos deben volver datagramas de ICMP de error en
          detección de un error, excepto en aquellos casos en los que devolver un
          Mensaje de error ICMP está específicamente prohibido. 

"Específicamente prohíbe" se refiere al hecho de que nunca se debe responder a un paquete de error con otro paquete de error. Es simplemente demasiado fácil para crear bucles infinitos. Así que si vamos a prohibir el flujo de tráfico que se supone que se devuelve un mensaje de error ICMP.

La fabricación de su rango de direcciones IP sea menos atractivo para la suplantación

Uno de los mayores problemas con el uso de reglas de caída es que usted haga su rango de direcciones IP más atractivo para la suplantación de identidad. Considere el típico ataque de SYN , donde un atacante intenta llenar la cola de un servidor de conexión TCP para que las peticiones de conexión legítimas no pueden ser atendidos. El atacante se inundaría el objetivo con las solicitudes de conexión TCP, por lo general de los ejércitos de zombies múltiples. Dado que el atacante no tiene intención de completar el protocolo TCP apretón de manos tres paquetes, la dirección IP de origen es falsa para ayudar a proteger la verdadera identidad de los zombis.

Si un atacante suplanta la identidad de una de las direcciones IP como parte de su inundación SYN, podrás ver el servidor bajo ataque enviar paquetes no solicitados SYN / ACK a la dirección IP falsa. Este no es el servidor que ataquen su red, es simplemente el servidor en respuesta a una petición de conexión y no tiene idea de la dirección IP de origen fue falsa.

OK, vamos a volver a las opciones de exploración por encima de la lista y combinar eso con la configuración de la red para ver qué impacto tendrá en la capacidad del atacante para llevar a cabo un exitoso ataque por desbordamiento de SYN. Si la dirección IP spoofing es que son:

• Host expuesto = RST / ACK volvió, cola de conexión desactivada en el servidor en aproximadamente 50 ms.
• Host off-line = router de salida host inaccesible rendimientos en aproximadamente 3 segundos
• Red fuera de línea del router = aguas arriba vuelve inalcanzable de la red en aproximadamente 50 ms
• Rechazar regla = firewall / router devuelve un mensaje Administrativamente prohibida en aproximadamente 50 ms
• Deja regla del servidor = en los intentos de ataque para responder durante 30 segundos o más

La anatomía de una inundación SYN

Hay dos parámetros que entran en juego en la toma de una inundación SYN éxito. El primero es el número de paquetes SYN puede la parodia atacante por segundo. Esta medida será determinado por el tamaño del ejército de zombies del atacante. La métrica segundo, sin embargo, es algo que usted tiene el control de. Es decir, "¿Cuánto durará cada solicitud de conexión falsificada atar la memoria en la cola de la conexión del servidor?".

Como se puede ver en las respuestas anteriores, cuando un atacante falsifica la dirección IP protegido por una regla de firewall caída, los lazos de conexión falsos solicitar hasta la cola de conexión del servidor para la mayor cantidad de tiempo. Así que digamos que el atacante quiere atar a un valor de ranura de conexión de la memoria durante 60 segundos. Eso sería tomar dos paquetes falsificados protegidos por una regla de firewall, o caída de 1.200 paquetes falsificados si cada IP falsa está protegido por un firewall rechazan regla. Así cayó la suplantación IP de origen significa que el atacante requiere un menor número de paquetes SYN por segundo para llevar a cabo un ataque con éxito. Mediante la implementación de una regla de colocación que se inadvertidamente ayudando al atacante y hacer de su espacio de direcciones más atractivas para la falsificación de direcciones IP.

Resumen ejecutivo

Utilizando las reglas de gota para impedir que el flujo de tráfico está muy extendido. Este autor considera que esto tiene más que ver con "todo el mundo a raíz de la manada" que con una implementación de caída siendo la verdadera situación de seguridad es mejor que cualquier rechazo reglas. Rechazar las reglas son más compatibles con RFC, generar menos tráfico en el cable, y hacer de su espacio de direcciones menos atractivo para la falsificación de direcciones IP.

¡Salud!

C