Maggior parte dei firewall sono pre-configurati per cadere tranquillamente il traffico piuttosto che respingerla. Ma qual è la differenza tra i due ed è veramente meglio far cadere invece di rifiutare? Se non avete mai dato molta attenzione a questa domanda, la risposta potrebbe sorprendervi.

Firewall opzioni di controllo del traffico

I firewall di solito si danno tre opzioni quando si interagisce con il traffico, questi sono:

• Accettare - Lasciate che il passaggio del traffico attraverso
• Drop - Rimuovere il pacchetto dal filo e non produce alcuna pacchetto di errore
• Rifiuta - Rimuovere il pacchetto dal filo e restituisce un ICMP "Comunicazione negato" (ICMP di tipo 3, codice 13) pacchetto di errore

Alcuni firewall sono personalizzabili quando si tratta di rifiutare il pacchetto che viene restituito. Per esempio Netfilter fornisce opzioni di fare il look come il suo porto chiuso al tar pitting la connessione. Ai fini di questo post mi bastone con solo il messaggio negato dato che è il più diffuso.

Cosa succede quando si porta la scansione di un sistema

Un utente malintenzionato in grado di identificare le porte aperte rispetto a un sistema chiuso perché ognuno risponde in modo diverso ad un pacchetto di stimolo. Quando si invia un TCP SYN pacchetti ad un sistema, una delle seguenti sta per verificarsi:

• Se la porta è aprire un TCP SYN / ACK verrà restituito
• Se la porta è chiusa un TCP RST / ACK verrà restituito

Quindi, se un SYN / ACK viene restituito, so che la porta è aperta. Se un RST (reset) / ACK viene restituito, so che la porta è chiusa.

Ora espandere questa verso il livello di Internet e alcune altre possibilità che entrano in gioco:

• Se l'host è off-line un host non raggiungibile ICMP sarà restituito dal router a monte
• Se la rete l'host è collegato a è off-line, una rete ICMP irraggiungibile verrà restituito dal router a monte
• Se un router o un firewall con un rifiuto regola blocca la connessione, un errore negato verrà restituito
• Se la porta è protetta da un firewall con una regola goccia, nulla viene restituito

Si noti che i suoi ultimi due possibilità che coinvolgono il controllo del traffico. Se lasciamo cadere il traffico, nulla viene restituito allo scanner. Se rifiutiamo, poi un errore ICMP viene restituito.

Il mito di stealthing il firewall

I venditori favore le regole calo per due motivi, che sono entrambi errati. Il primo è la caduta del traffico aiuta a "stealth" del firewall. Il concetto è che, poiché il firewall sta tornando dati, un utente malintenzionato sarà in grado di determinare avete un firewall. Guarda le opzioni di risposta sopra di nuovo. L'unica volta che viene restituito nulla di consistente si ha quando un firewall con una regola caduta è nel modo. Così facendo cadere il traffico non si è stealthing il firewall, lo si sta pubblicità. Questo è il motivo per strumenti come nmap effettivamente la sonda rapporto come "filtrati" quando niente ritorna.

Quando ho affrontato i venditori con questo fatto, la risposta è "Huh?" O "Ancora non si conosce l'indirizzo IP del vostro firewall, quindi la sua ancora stealth". La seconda affermazione è solo parzialmente vero che un utente malintenzionato deve effettuare il passaggio aggiuntivo di gestione di un strumento come tcptraceroute per determinare l'indirizzo IP del firewall.

Così il concetto di essere in grado di furtività un dispositivo che interagisce con il flusso del traffico è un mito completo. La corrispondenza più vicina è probabilmente la capacità di respingere Netfilter tramite messaggi di host non raggiungibile. Anche se questo non nasconde l'indirizzo IP del firewall, che fa il firewall più simile a un router e aiutano a mascherare la segmentazione della rete alle sue spalle.

Il mito della usando meno larghezza di banda

La seconda ragione venditori favore regole goccia è che pensano che genera meno traffico sul filo. Questo ha un senso logico a meno che non si capisce come TCP / IP comunica. In altre parole, sulla superficie questa affermazione sembra razionale. Tenere gli errori ICMP dalla rete e si utilizza meno banda. La realtà è però che il protocollo TCP Cerca di essere affidabile. Ciò significa che quando il pacchetto prima sonda è tranquillamente abbandonato, la fonte sta per inviare due, forse quattro pacchetti di più per riprovare. Se si sommano i bit sul filo, in realtà si finisce per utilizzare una larghezza di banda quando si forza la fonte in modalità ritrasmissione.

Che cosa significano le RFC dicono?

Quindi qual è il metodo RFC legale, cadute o rifiutare? Se noi di riferimento RFC 1122 dice:

  3.3.8 Segnalazione errori

          Ove possibile, gli host deve restituire datagrammi ICMP per errore
          rilevamento di un errore, tranne nei casi in cui la restituzione di un
          Messaggio di errore ICMP è espressamente vietato. 

"In particolare proibito" si riferisce al fatto che non si dovrebbe mai rispondere ad un pacchetto di errore con un altro pacchetto di errore. Il suo solo troppo facile per creare loop infiniti. Quindi, se siamo divieto flusso del traffico siamo supponiamo di essere restituendo un messaggio di errore ICMP.

Effettuare la gamma di IP spoofing meno attraenti per gli

Uno dei maggiori problemi con l'utilizzo di regole goccia è che fate il vostro range di IP più attraente per lo spoofing. Si consideri il tipico attacco SYN flood cui un utente malintenzionato tenta di riempire un server coda di connessione TCP in modo che le richieste di connessione legittime non può essere riparato. L'attaccante invaderanno il bersaglio con richieste di connessione TCP, di solito da host zombie multipli. Dal momento che l'attaccante non ha alcuna intenzione di completare i tre stretta di mano di pacchetti TCP, l'indirizzo IP sorgente è falso per proteggere la vera identità di zombie.

Se un utente malintenzionato lo spoofing uno dei tuoi indirizzi IP come parte della loro SYN flood, si vedrà il server sotto attacco non richiesti inviare pacchetti SYN / ACK all'indirizzo IP spoofing. Questo non è il server di attaccare la rete, è semplicemente il server che risponde a una richiesta di connessione e non ha idea l'indirizzo IP sorgente è stato falsificato.

OK, torniamo alle opzioni di scansione sopra elencati e la combinano con la configurazione della rete per vedere quale impatto si avrà sulla capacità dell'attaccante di eseguire un successo attacco SYN flood. Se l'indirizzo IP spoofing è che sono:

• Exposed Host = RST / ACK restituiti, coda di connessione cancellati sul server in circa 50 ms.
• Host off-line = monte host non raggiungibile router ritorna in circa 3 secondi
• Rete off-line = router a monte torna irraggiungibile rete in circa 50 ms
• Reject rule = Firewall/router returns Administratively prohibited message in approximately 50 ms
• Drop rule = Server under attack attempts to respond for 30 seconds or more

The anatomy of a SYN flood

There are two metrics that come into play in making a SYN flood successful. The first is how many SYN packets can the attacker spoof per second. Questo parametro sarà determinato dalle dimensioni esercito di zombie dell'attaccante. The second metric however, is something you have control of. That is “How long will each spoofed connection request tie up memory in the server's connection queue?”.

As you can see in the above responses, when an attacker spoofs an IP address protected by a firewall drop rule, the bogus connection request ties up the server's connection queue for the greatest amount of time. So let's say the attacker wants to tie up one connection slot worth of memory for 60 seconds. That would take two spoofed packets protected by a firewall drop rule, or 1,200 spoofed packets if each spoofed IP is protected by a firewall reject rule. So spoofing dropped source IPs means the attacker requires fewer SYN packets per second in order to perform a successful attack. By deploying a drop rule you are inadvertently helping the attacker and making your address space more attractive to IP address spoofing.

Exec Summary

Using drop rules to prevent traffic flow is widely deployed. This author feels this has more to do with “everyone following the herd” than with a drop implementation truly being a better security posture than using reject rules. Reject rules are more RFC compliant, generate less traffic on the wire, and make your address space less attractive for IP address spoofing.

Cheers!

C