Здравствуйте, как дистрибутивно блокировть какие-либо действия из вне?<br>Установил <div class="codeheader"><br></div><div class="code"><pre style="margin-top: 0pt; display: inline;">snort-inline+flexresp - Snort с чтением трафика через IPTables и автоблокировкой<br>
<br></pre></div>Добавил правило:<br><div class="codeheader"><br></div><div style="overflow: scroll;" class="code"><pre style="margin-top: 0pt; display: inline;">#Submitted by Matt Jonkman<br>alert tcp $EXTERNAL_NET any -> $HOME_NET 2222 (msg: "BLEEDING-EDGE Potential SSH Scan"; flags: S; flowbits: set,ssh.brute.attempt; threshold: type threshold, track by_src, count 5, seconds 120; classtype: attempted-recon; reference:url,<a href="http://en.wikipedia.org/wiki/Brute_force_attack">en.wikipedia.org/wiki/Brute_force_attack</a>; sid: 2001219; rev:14;)<br>
alert tcp $HOME_NET any -> $EXTERNAL_NET 2222 (msg: "BLEEDING-EDGE Potential SSH Scan OUTBOUND"; flags: S; flowbits: set,ssh.brute.attempt; threshold: type threshold, track by_src, count 5, seconds 120; classtype: attempted-recon; reference:url,<a href="http://en.wikipedia.org/wiki/Brute_force_attack">en.wikipedia.org/wiki/Brute_force_attack</a>; sid: 2003068; rev:2;)<br>
</pre></div><br>С другого адреса начинаю брутофорсить ssh, правило срабатывает:<br><div class="codeheader"><br></div><div class="code"><pre style="margin-top: 0pt; display: inline;">[**] [1:2003068:2] BLEEDING-EDGE Potential SSH Scan OUTBOUND [**]<br>
[Classification: Attempted Information Leak] [Priority: 2]<br>09/23-08:29:31.467122 <a href="http://82.219.201.133:41256">82.219.201.133:41256</a> -> <a href="http://82.219.201.130:2222">82.219.201.130:2222</a><br>TCP TTL:62 TOS:0x0 ID:14265 IpLen:20 DgmLen:52 DF<br>
******S* Seq: 0xD0CF4A74 Ack: 0x0 Win: 0x16D0 TcpLen: 32<br>TCP Options (6) => MSS: 1460 NOP NOP SackOK NOP WS: 4<br>[Xref => <a href="http://en.wikipedia.org/wiki/Brute_force_attack">http://en.wikipedia.org/wiki/Brute_force_attack</a>]<br>
<br></pre></div>Но не блокируется, как правильно сделать что-бы добавлялось правило iptables для блокировки?<br>В бранче не нашел ничего вроде SnortSam, Guardian, Hogwash.<br clear="all"><br>-- <br>Best Regards, Yury Konovalov aka Speccyfan (2:453/53)<br>
Registered Linux User #379588<br>