Pingimise vältimine

[imre]

Seoses küberrünnakutega Eesti riigiasutustele mõtlesin, et hea oleks ehk oma koduarvuti/server ära peita pingimise eest.
Kuidas seda teostada siis(kõrvalmõjudest juttu allpool - soovitan lugeda!)
ROOT kasutajana anda käsk

Kood: Vali kõik

echo 1 >  /proc/sys/net/ipv4/icmp_echo_ignore_all

Tulemus:

Kood: Vali kõik

--- 192.168.2.45 ping statistics ---
7 packets transmitted, 0 received, 100% packet loss, time 6001ms
----------------------------------------------------------------

Kogu tegevust kirjeldav osa:

Kood: Vali kõik

#################################
pingimine, kui /proc/sys/net/ipv4/icmp_echo_ignore_all väärtus on 0
#################################

PING 192.168.2.45 (192.168.2.45) 10000(10028) bytes of data.
10008 bytes from 192.168.2.45: icmp_seq=1 ttl=64 time=0.075 ms
10008 bytes from 192.168.2.45: icmp_seq=2 ttl=64 time=0.077 ms

--- 192.168.2.45 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 4000ms
rtt min/avg/max/mdev = 0.075/0.076/0.078/0.007 ms
PING 192.168.2.45 (192.168.2.45) 10000(10028) bytes of data.

#################################
uuesti pingimine, kui /proc/sys/net/ipv4/icmp_echo_ignore_all väärtus on 1
#################################


--- 192.168.2.45 ping statistics ---
7 packets transmitted, 0 received, 100% packet loss, time 6001ms
----------------------------------------------------------------
Käsud järjekorras:
ping -c 5000 -s 10000 192.168.2.45
su
echo 1 >  /proc/sys/net/ipv4/icmp_echo_ignore_all
ping -c 5000 -s 10000 192.168.2.45

Mainin ka ära kõrvalmõjud.
Pingimise teel ei saa teada, kas Teie arvuti/server üldse võrgus on. Võrguprobleemide lahendamise korral on see muidugi takistuseks.
Ja soovitan kindlasti dokumenteerida teolised tehtavad operatsioonid, et tulevikus oleks hea näiteks pingimise lubamine(kui vajadus tekib)
Kui on märge olemas kuskil, siis on Teil endal kergem asju leida ja parandada.
Aga ok, see kipub juba IT dokumenteerimise valdkonda
EDIT:
See ei ole jääv väärtus ja taaskäivitamisel on väärtus taas 0
Susake see echo 1 omale startup scripti vajadusel!

[obundra]

See paneb pingile vastamise kinni kõikidel võrguliidestel mis masinas on .Aga juhul kui on vaja, et ainult mõni liides pingile ei vastaks, siis iptablesi reeglitega saab seda korraldada nii:

Kood: Vali kõik

iptables  -t mangle -I PREROUTING -p icmp -i $v6rguliides --icmp-type 8 -j DROP

[johnsmith]

Pingimise võib ju ära keelata aga see ei ole kahjuks ainuke dos rünnak.
Palju ohtlikum on poolavatud ühenduste kasutamine kus server ootab kliendilt kolmandat käepigistust ja on sunnitud säilitama ühenduse teatud aja mälus.
Tulemüürist saab küll määrata igale kliendile teatud ühenduste arvu aga enamasti kasutatakse hajutatud rünnakut. Server lihtsalt ujutatakse üle poolavatud ühendustega.

Mingil määral aitab FreeBSD kasutamine serverina kun FreeBSD tcp/ip pinu on kiirem kui Linuxil.

[imre]

Vaadates, mis moodi rünnatakse praegu (pingides), siis see väike õpetus oleks ehk abiks.
Kindlasti ei ole pingimine ainus, aga see on kõige levinum siiski.

[johnsmith]

Siiski soovitaks kasutada seda ajutise vahendina kriisiolukorras. Selle jaoks on ikka hosts.allow ja muud vahendid ja tavaliselt selliste pingijate võrguühendus pannakse ruttu kinni nende ISP poolt.
Antud juhul siis ilmselt mitte kuna pingiti ikkagi pahasid........

[imre]

johnsmith, pingiti pahasid?
Pingiti eesti riigiasutuste servereid. Pingijad olid pahad ja vaevalt, et pingijate ISP nüüd selle tegevuse keelaks.
Aga vist võib rahus kogu .ru pealt tuleva liikluse otse prügikasti lasta.

[antik2]

johnsmith, pingiti pahasid?
Pingiti eesti riigiasutuste servereid. Pingijad olid pahad ja vaevalt, et pingijate ISP nüüd selle tegevuse keelaks.
Aga vist võib rahus kogu .ru pealt tuleva liikluse otse prügikasti lasta.

FreeBSDs näiteks saab blokeerida kõik vene domeenid sellise reaga failis /etc/hosts.allow:

Kood: Vali kõik

ALL : .ru : deny

Kahjuks ei oska öelda, kas Linuxis selline asi toimib.

[johnsmith]

Pahad olid jutumärkides "pahad" Seda ma just tahtsingi öelda, et nende ISP arvates oli see nagunii öige tegu. IP aadressid on ju teada ja tavaliselt peaks piisama sellest kui saadad oma logifaili pingija ISP -le.