Переменные считаются объявленными неявно и имеют начальное значение, равное нулю. Переменные могут быть только целочисленного типа. При обращении к переменной, возможно через двоеточие указать один из квалификаторов sourcehost или desthost. В этом случае происходит обращение к специальному экземпляру переменной, адресуемой по адресу хоста-источника или хоста-назначения пакета, который вызвал выполнение этих действий. В случае обновления такой переменной изменяется как основная переменная, так и ее специальный экземпляр. Эта особенность используется, в частности, для организации счетчиков, как общего числа событий, так и отдельно, для каждого адреса источника и назначения.

В следующем примере показано использование переменных с квалификаторами, тайм-аутов и динамических правил. Если хост пингует вашу сеть 100 раз с интервалом между пингами не более 2 секунд, все пакеты с этого хоста блокируются на 10 минут. Уровень сообщения динамического правила установлен равным нулю, чтобы уменьшить количество передаваемой информации от фильтра к демону. accept icmp icmp_echo to inside notification_level 10; notification level 10: let pingcount:sourcehost := pingcount:sourcehost + 1 timeout 2; if pingcount:sourcehost > 100 then block all from sourcehost notification_level 0 timeout 600 endif; Написание правил фильтрацииВ этой главе мы обсудим вопросы написания фильтрующих правил для нашего брандмауэра. Мы настоятельно рекомендуем вам прочитать книгу "Firewalls and Internet Security", Cheswick и Bellovin (Addison-Wesley, 1994), чтобы иметь представление о проблемах, связанных с безопасностью использования протокола TCP/IP и правильной конфигурации брандмауэра. Блокировать или отражать (Block or Reject ) пакеты ?Часто, довольно трудно решить, блокировать пакет или отражать его. В первом случае, хост посылающий пакет думает, что пакет просто потерялся где-то при передаче. В этом случае, обычно, посылающее приложение несколько раз повторяет посылку пакета. Если же вы посылаете назад ICMP сообщение об ошибке, то, как правило, посылающая сторона не предпринимает больше попыток передать пакет.

Не следует отражать пакеты тех протоколов или приложений, которые игнорируют ICMP сообщения (как некоторые реализации DNS серверов), так как это вызовет наводнение сети ICMP сообщениями. Протокол TCP не игнорирует совсем ICMP сообщения, но все равно пытается заново передать пакет, так как он считает, что сообщения типа "...unreachable" могут быть вызваны временными причинами. Чтобы надежно отразить TCP пакеты, необходимо послать reset пакет (этого можно достичь с помощью либо reject with tcp_reset, либо reject with best ).

Многие программы не делают различий между различными ICMP "...unreachable" сообщениями. Таким образом, возможна ситуация, когда вы шлете сообщение "port unreachable", а принимающая сторона обрабатывает его как "host unreachable". В результате хост может стать недоступен, что может быть нежелательно.

Не следует отражать ICMP сообщения, так как это не будет работать, вследствии особенностей реализации ядра операционной системы.

Если вы используете инструкцию reject with best, то в этом случае TCP пакеты отражаются посылкой reset пакета; для UDP пакетов генерится ICMP сообщение port unreachable, а все остальные пакеты отражаются с ICMP сообщением host unreachable. Фильтрация TCP соединенийВ случае правил для протокола TCP, адрес после ключевого слова from обозначает инициатора соединения. Для установленных соединений прохождение пакетов в обратную сторону разрешается автоматически. Запись в лог-файл делается только в момент установления соединения.

Протокол FTP требует специальной обработки, так как при связи по этому протоколу, устанавливается два соединения - управляющее (control connection) и соединение для данных (data connection). Второе из них инициируется сервером. Однако вам не нужно явно разрешать входящие соединения. Каждое управляющее соединение просматривается на наличие команд PORT, которые вызывают установление соединений для данных на конкретный порт. И каждое такое соединение автоматически разрешается. Входящие и выходящие пакетыФильтр пакетов вызывается всякий раз, когда IP пакет принимается или отсылается. Пакеты, проходящие с одного интерфейса на другой, проверяются во время прихода в систему. При отсылке пакета проверяется только соответствие интерфейса адресу назначения ( для предотвращения спуфинга ). Локальные пакеты (то есть те, которые не собираются выходить из системы ) проверяются только при передаче. Подделка адресов (Address Spoofing)Следующие признаки подделки адресов вызывают сигнал тревоги: Пакет имеет внутренний исходный адрес, а пришел на внешний интерфейс ( и наоборот ). Это значит, что некоторый внешний хост пытается выдать себя за внутренний. Адрес назначения и интерфейс, через который отсылается пакет, не соответствуют друг другу. Это означает, что, скорее всего, нарушена таблица маршрутизации. Адрес локальной "петли" ( loopback address) используется на любом интерфейсе, отличном от локального ( loopback interface ). Заметьте, что адреса класса D и E не проверяются на предмет спуфинга. Фрагментированые IP пакетыВ случае фрагментации пакетов, проверяется только первый фрагмент пакета и результат проверки запоминается. В случае, если этот фрагмент не принят, то и все остальные фрагменты просто тихо отбрасываются. В случае, если фрагменты приходят не по порядку, то все фрагменты, пришедшие до первого, отбрасываются. Синтаксис файла конфигурацииconfiguration = setup_section rules_section [ notification_section ] "end.".setup_section = "setup" [ internal_statement ] mail_statement.rules_section = "rules" { ( block_statement | accept_statement | reject_statement ) }.setup_statement = "internalnets" address { "," address } ";".mail_statement = "mail_default" """ mailaddress(es) """ ";".block_statement = "block" rule ";".accept_statement = "accept" rule ";".reject_statement = "reject" [ "with" ( "icmp_net_unreachable" | "icmp_host_unreachable" | "icmp_protocol_unreachable" | "icmp_port_unreachable" | "tcp_reset" | "best" | "echo_reply" ) ] rule ";".rule = [ "options" ip_option { "," ip_option } ] ( "all" | protocol_number | "icmp" [ icmp_type { "," icmp_type } ] | "igmp" [ igmp_type { "," igmp_type } ] | "tcp" | "udp" | "rip" [ ( address { "," address } | inside | outside ) ] ) [ "from" ( fulladdr { "," fulladdr } | "inside" [ "port" port [ ".." port ] ] | "outside" [ "port" port [ ".." port ] ] ) ] [ "to" ( fulladdr { "," fulladdr } | "inside" [ "port" port [ ".." port ] ] | "outside" [ "port" port [ ".." port ] ] ) ] "notification_level" value. ip_option = ( "record_route" | "timestamp" | "security" | "loose_source_route" | "strict_source_route" | "sat_id" | "time_to_live" ( "<" | "=" | ">" | "!=" ) value ). icmp_type = ( "icmp_echo_reply" | "icmp_destination_unreachable" | "icmp_source_quench" | "icmp_redirect" | "icmp_echo_request" | "icmp_time_exceeded" | "icmp_parameter_problem" | "icmp_timestamp" | "icmp_timestamp_reply" | "icmp_info_request" | "icmp_info_reply" | "icmp_address" | "icmp_address_reply" ). igmp_type = ( "igmp_host_membership_query" | "igmp_host_membership_report" | "igmp_host_leave_message" ). fulladdr = ( address [ "port" port [ ".." port ] ] | "port" port [ ".." port ] ). address = ( ip_address | """ name """ ) [ "mask" mask ]. port = ( port_no | name ).notification_section = "notification" "level" ( value | "spoof" | "oversized" ) ":" ( { entry ";" } | ";" ) { "level" ( value | "spoof" | "oversized" ) ":" ( { entry ";" } | ";" ) }.entry = ( "message" """ text """ { """ text """ } | "syslog" | "report" | "mail" [ """ mailaddress(es) """ ] | "spy" | "exec" """ command """ | "relevel" value | "call" value | "if" ( variable | value ) ( "<" | "=" | ">" | "!=" ) ( variable | value ) "then" { entry ";" } "endif" | "let" variable ":=" ( value | "destport" | variable [ ( "+" | "-" ) ( value | variable ) ] ) [ "timeout" seconds ] | dynamic_rule [ "timeout" seconds ] ).variable = name [ ":" qualifier ]. qualifier = ( "sourcehost" | "desthost" ).[ специальные ключевые слова, допустимые в динамических правилах: "currentprotocol" uses protocol of actual packet "sourcehost" uses source host address "sourcenet" uses source net address "desthost" uses destination host address "destnet" uses destination net address ] Примеры, пожалуйста !Для начала, ознакомьтесь, пожалуйста, с описанием настройки конфигурации брандмауэра. В этом разделе мы опишем работающий (хотя и не очень полезный) пример с использованием уровней сообщений ( notification level ). Для удобства, этот пример включен в дистрибутив нашей программы.

Далее в тексте примера используется шрифт с фиксированой шириной. Важные ключевые слова выделены жирным шрифтом, а комментарии курсивом. # Образец файла конфигурации брандмауэра "sf firewall" setup internalnets 193.194.195.0; mail_default "adm@x.y.z"; rules # Некоторые простые правила для определения активности хакеров block tcp to port 87, /* link */ port 95 /* supdup */ notification_level 99; block options loose_source_route, strict_source_route all notification_level 13; # ...пропустим несколько правил для RIP протокола # обнаруживать дополнительные пути в интернет block rip from inside notification_level 12; # ...пропустим еще несколько правил с уровнем сообщений 0 # Разрешить входящие FTP запросы на наш FTP сервер accept tcp to 130.59.4.16 port 21 notification_level 1; # Разрешить входящие Telnet запросы на наш Telnet/Login сервер accept tcp to 130.59.4.16 port 23 notification_level 2; accept all from 127.0.0.1 to 127.0.0.1 notification_level 0; # запретить все остальные TCP соединения block tcp notification_level 99; notification level 1: /* регистрировать все разрешенные FTP соединения */ message "FTP connection request."; level 2: /* регистрировать все разрешенные Telnet соединения */ message "Telnet connection request."; level 3: /* регистрировать все разрешенные WWW соединения */ message "WWW connection request."; level 11: message "ICMP redirect received."; level 12: message "There may be a secondary route to the internet."; level 13: message "IP packet with source route option detected"; let sr:sourcehost := sr:sourcehost + 1 timeout 300; if sr:sourcehost = 1 then message "IP packet with source route option detected"; spy; endif; level 99: message "Illegal TCP connection."; syslog; let illtcp:sourcehost := illtcp:sourcehost + 1 timeout 600; if illtcp:sourcehost = 1 then message "Illegal TCP connection."; mail; spy; endif; end.Приведенный выше пример показывает использование всех возможных конструкций в секции "notification", за исключением relevel, exec и динамических правил. В то время, как использование инструкции exec довольно очевидно (например exec "ifconfig eth0 down" отключает интерфейс в случае крайней необходимости), использование инструкции relevel и динамических правил требует пояснений.

Изменнеие уровня правила с помощью relevel является постоянным и вследствии этого не очень полезно. Лучше использовать временные динамические правила.

Предположим уровень 100 вызывается всякий раз, когда наша машина пингуется. Файл логов в этом случае очень быстро станет огромных размеров, так как будет регистрироваться каждый отдельный пинг.

Первая идея состоит в изменении уровня с помощью инструкции relevel: ... notification level 100: message "We have been pinged"; relevel 0; ...Однако это плохая идея. После первого же пинга регистрация пингов отключится совсем. Чтобы зарегистрировать первый пинг и потом, в течении некоторого времени, не регистрировать последующие пинги с того же хоста, нам надо отказатлься от relevel и сделать так: ... notification level 100: let pings:sourcehost := pings:sourcehost + 1 timeout 600; /* 10 minutes */ if pings:sourcehost = 1 then message "We have been pinged"; endif; ...Если мы беспокоимся о возможных атаках типа "отказ обслуживания" (denial-of-service attack), мы можем использовать динамические правила и блокировать пинги (после определенного их числа): if pings:sourcehost > 1000 then message "Possible denial-of-service attack"; spy; block all from sourcehost notification_level 0 timeout 600; endif;Конечно, реальная атака может использовать большое число других, отличных от пинга, видов соединений, например ftp. Запуск и управление брандмауэромПосле того, как вы установили брандмауэр и настроили его конфигурацию, вы, конечно, хотите знать как его запускать, останавливать и исследовать его состояние.

В этой главе описана программа sfc, которая является командным интерфейсом для демона брандмауэра и фильтрующего модуля ядра. Запуск брандмауэраДля начала, убедитесь, что модуль sf.o загружен в ядро (в этом вам поможет команда lsmod ). Если sf.o не загружен, посмотрите Руководство по Установке -- добавьте строку insmod /путь/к/sf.o в один из файлов запуска и перегрузите машину.

Команда sfc start используется для запуска демона брандмауэра. По умолчанию файл конфигурации находится в /etc/firewall.conf, но вы можете указать любой другой файл , например sfc start myconfig.

По команде start сначала происходит разбор конфигурационного файла. Затем проверяется не запущен ли уже демон брандмауэра, открывается файл логов, запускается демон и в конце снимает с демона привелегии суперпользователя. Остановка брандмауэраДля остановки демона брандмауэра используется команда sfc stop.

Предупреждение: Когда демон останавливается, то весь сетевой траффик блокируется. Вам надо, либо выгрузить модуль sf.o из ядра (rmmod sf.o), либо заново запустить демон (sfc start).

Причина: Предположим, в результате какой-нибудь ошибки в операционной системе, злой хакер сумел послать сигнал SIGKILL демону брандмауэра. Брандмауэр бы завершил свою работу и оставил бы систему незащищенной. Кстати, в версии Linux 1.2.11 была ошибка, позволяющая любому пользователю убивать любой процесс. Это еще одна причина, по которой никогда нельзя разрешать работу обычных пользователей на машине, где запущен брандмауэр. Изменение конфигурации брандмауэраВ некоторых случаях , желательно автоматически переключаться с одной конфигурации на другую. Предположим, что в некоторой организации, никто не работает по воскресеньям (мне говорили, что такие конторы существуют). Следовательно, сетевой траффик по воскресеньям должен проверяться гораздо строже, чем в обычные дни.

Для изменения конфигурации в определеннное время вы могли бы выполнить с помощью cron следующие команды sfc stop; sfc start newconfig. Однако, существует лучший способ смены конфигурации, заложеный в sfc - команда sfc reconfig newconfig (где newconfig это путь к файлу с новой конфигурацией. Если этот параметр пропущен, то будет использоваться /etc/firewall.conf ).

Команда reconfig обеспечивает гладкое переключение конфигурации, то есть установленные соединения не будут прерваны. Два необязательных параметра изменяют работу этой команды:

flush: При использовании этого параметра, все существующие TCP соединения, которые не разрешены в новой конфигурации будут прерваны. Другие TCP соединения останутся.

flush_all: Эта команда завершает все TCP соединения (эквивалентно последовательности stop; start ). Проверка синтаксиса файла конфигурацииЧтобы проверить файл конфигурации на синтаксические ошибки, используется команда sfc checkconfig myconfig (и снова myconfig может быть опущен, тогда используется /etc/firewall.conf).

В случае ошибки печатается номер строки. Отображение текущей конфигурацииКоманда sfc show показывает все активные правила и переменные.

Во второй строке показывается действие, выполняемое фильтром по этому правилу (блокировать или пропускать пакет) и соответствующий уровень сообщения.

Все остальные строки необязательны. В некоторых случаях печатается тип протокола и адреса источника или назначения пакета.

В случае, если у переменной несколько экземпляров с разными адресами хостов, то все они печатаются с указанием IP адреса и, возможно, тайм-аута.

Некоторые люди считают, что "шпионить" за другими компьютерами в сети неэтично, даже если эти машины и могут быть источником атаки. Чтобы успокоить таких людей, функция контрразведки включается только в случае явного указания ключевого слова spy в файле конфигурации. Таким образом, вам решать использовать ее или нет.

Цель "шпионажа" за другими машинами в том, чтобы попытаться собрать информацию о этих машинах и пользователях, работающих на них. Действия выполняемые процессом-шпиономЧтобы узнать имя удаленной машины, запрашивается DNS (система доменных имен). Полученное имя затем транслируется в адрес (опять же с использованием DNS) и результат сравнивается с IP адресом пакета. Если адреса не совпадают, выдается специальное предупреждение.

На следующем шаге, брандмауэр пытается выяснить имена пользователей удаленной машины. Это достаточно трудная задача, так как нет стандартного способа сделать это и во многих случаях удаленные машины не позволяют сделать это, либо, что еще хуже, выдают явную ложь. Имейте это в виду, когда будете просматривать результаты "шпионажа".

Вначале брандмауэр пытается использовать протокол ident. Это возможно только если выполнение процесса-шпиона вызвано попыткой TCP соединения на сам брандмауэр (это ограничение данного протокола). Если все работает как нужно, вы получите имя пользователя, посылающего пакеты. Если нет, то вы увидете сообщения "no such user" или "connection refused".

Далее используется команда finger на удаленный хост. Если удаленная машина допускает finger запросы, то вы увидите список всех активных пользователей этой машины. Список может содержать интересную информацию о логических именах пользователей, их настоящих именах, времени работы в системе и др. Некоторые хосты возвращают только информацию типа "To send mail to someone at ..., address your mail using the following format: ...", а другие вообще отказываются обслуживать finger запросы.

Наконец, предпринимается попытка использовать команду rusers. Мне бы хотелось увидеть хост, который ответит на эту команду, но, тем не менее, если она пройдет, вы увидете список пользователей этой машины, хосты, с которых они залогинились и время работы. Куда записываются результатыЕсли ничего не указывать, то результаты шпионажа запишутся в файл firewall.spy в той же директории где находится лог-файл брандмауэра. Если вы укажете ключевое слово mail для того же уровня сообщения, что и ключевое слово spy, результаты будут также отправлены по почте. Пример результатов шпионажаРезультаты могут быть похожи на приведенный ниже пример (в реальной жизни возможно более двух пользователей): FIREWALL COUNTER INTELLIGENCE REPORT, Aug 09 12:20:02 Triggered by: (s 13) accept TCP 1.2.3.4:1065->193.194.195.196:telnet Host address: 1.2.3.4 Host name: oval.office.gov identd information: User ID: unabom. finger information: [1.2.3.4] Login: unabom Name: John F. Doe Directory: /home/unabom Shell: /bin/csh On since Wed Aug 9 10:27 (EST) on tty1 No Mail. No Plan. Login: bclinton Name: Bill Clinton Directory: /home/bclinton Shell: /bin/bash On since Wed Aug 9 9:32 (EST) on tty2, idle 0:22 New mail received Wed Aug 9 12:18 1995 (EST) Unread since Tue Aug 8 20:03 1995 (EST) Plan: We are using PGP to encrypt our E-mail here at the office. rusers information: unabom localhost:tty1 Aug 9 10:27 bclinton localhost:tty2 Aug 9 9:32 :22 Формат лог-файла брандмауэраВ зависимости от конфигурации, брандмауэр может создавать как небольшое, так и огромное количество записей в лог-файле( в случае недостатка места на диске, вы получите E-mail ). Эта глава поможет вам разобраться в содержимом лог-файла. Куда записывается информацияВесь вывод брандмауэра записывается в лог-файл брандмауэра. Если вы указали ключевое слово syslog, запись будет занесена и в системный лог-файл. Ключевое слово report копирует запись в файл firewall.report (являющийся ежедневным отчетом). А если вы указали ключевое слово mail, то запись будет направлена по электронной почте ( это может быть полезно в том случае, если хакер сумел войти в систему и изменить файлы логов, чтобы скрыть свое присутствие -- отправленную почту он не в силах изменить). Используемые сокращенияИз-за используемых сокращений, разобраться в содержимом файла, с первого взгляда, довольно сложно. Мы пошли на это для того, чтобы разместить как можно больше информации на одной строке.

Ниже приведен список возможных сокращений. За более подробной информацией обращайтесь к описанию:

Rule Types (Типы правил):
s = статическое правило
d = динамическое правило
SPOOF = неявное спуф-правило (включает название интерфейса)
XSIZE = неявное правило для чрезмерно больших (oversized) (включает название интерфейса)

Filter Actions (Действия фильтра):
accept - пропускать
block - не пропускать
reject - не пропускать, с посылкой ICMP сообщения (указывается и тип сообщения)

Protocols (Протоколы):
RIP
TCP
UDP
ICMP

Адрес источника пакета ( Packet Source) и адрес назначения ( Packet Destination ) включают и номера портов (через двоеточие), если они поддерживаются протоколом. Другие записи в лог-файлеДругие записи говорят сами за себя. ОграниченияВ этой главе описаны ограничения, присущие нашему брандмауэру. Текущее состояние делВ настоящее время, большинство систем полностью незащищены. Многие организации даже и не беспокоятся о замене клиентских программ, содержащих ошибки. Старые версии sendmail-а все еще работают на забытых всеми принт-серверах, где-нибудь в отдаленных углах офиса.

Таким образом, любой брандмауэр, будь он как угодно плохим, все равно улучшит ситуацию. Ожидаемая новая версия протокола IP v6 поможет решить многие вопросы безопасности. Но даже через несколько лет, когда новый протокол получит распространение, все равно останутся старые машины, работающие со старой версией протокола, уязвимые для атак. Защита, обеспечиваемая брандмауэром sf FirewallМы хотели бы сказать что вам теперь не о чем беспокоиться. Но это не правда. "sf Firewall" предотвращает большинство атак, но не все. Подобно запертой двери, брандмауэр создает препятствия на пути злоумышленника. Но если взломщик очень постарается, он может разбить стекло или вышибить дверь. В этом случае, он, скорее всего, произведет большой шум и наша программа поможет вам обнаружить его, увеличивая ваши шансы на успех.

Помните, что наша программа экспериментальная вещь и мы не даем никаких гарантий по ее работе. Остающиеся угрозыФильтр пакетов, даже такой продвинутый, как наш, не может защитить вас от перехвата TCP соединений, прослушивания и изменения данных на пути их следования.

Вы не будете защищены от подслушивания паролей. Если вы предоставляете ограниченый доступ в вашу сеть из Интернет с помощью паролей, используйте системы с одноразовыми паролями.

Для полной уверенности в подлинности собеседника используйте специальные системы, например Kerberos.

И наконец, прочитайте все-таки документацию - если вы неправильно настроите программу, то никто вам не поможет... Copyright ї 1996 Robert Muchsel и Roland Schmid. Чтобы послать ваши комментарии и предложения щелкните здесь.