Защита от сканеров

[orca]

Люди знает ли кто какой нибудь софт или правила файрвол которые бы спасли от сканирования. Что нибудь что анализирует работу сканера и на некоторое время закрывает ему доступ! Думаю многим такое пригодится...

[Guest]

А смысл?

"Волков боятся - в лес не ходить" (с)...

[Ansy]

Навскидку:

Kaspersky Anti-Hacker (при скане большого числа портов с одного IP в малый промежуток времени блокирует этот IP).

ZyNOS в ADSL-мопедах типа ZyXEL Prestige (там вроде есть защита от DoS-атак).

И вообще многие фаерволы так умеют. Linux iptables с фичами rate & burst limit просто не дают сканирующему открывать одновременно слишком много соединений -- часто этого достаточно.

[orca]

Интересно:)

а под ipfw что то такое есть?

[Guest]

man ipfw

limit {src-addr | src-port | dst-addr | dst-port} N

The firewall will only allow N connections with the same set of

parameters as specified in the rule. One or more of source and

destination addresses and ports can be specified.

[Kuzmich]

portsentry

 

Садится демон, слушет настроенный диапазон портов (типа, если на машине нет pop-сервера, слушаем 110, и т.п.). Любая попытка соединения на порт вызывает запуск внешнего скрипта, который может, например, делать ipfw add 1 deny ip from ${враг} to any

 

Вариант с limit'ом прокатывает, но:

а) лимит должен быть достаточно большим, чтобы честные юзера могли работать: например, если на машине крутится веб-хостинг, то с одного адреса может быть установлено несколько десятков (или даже сотен) соединений с ним (например, крупная сеть за NAT'ом, в которой по локальной аське пробежал линк на какую-нибудь страничку)

б) потенциальная дырка для DoS - в системе ограничено количество одновременно существующих динамических правил (по умолчанию - 8192), поэтому ${враг} может спокойно положить систему, послав всего-лишь 8 тыщ пакетов с разных поддельных адресов.