nmap peut voir tous les ports, pas juste ceux par défaut. Le mieux, c'est de bloquer toutes les requetes ICMP pour le géner un peu (en gros, tout ceux qui ne font pas -P0 ne passeront pas), de faire des DROP sur tous les ports non utilisés, pour le géner un peu plus encore histoire de le laisser timeouter sur chacun de ces ports...
Après y'a surement des programmes ou scripts bien plus évolués qui permettent de "bannir" une IP dès qu'une tentative de scan est détectée.
Bloquer l'ICMP c'est pas beau. Comment vas tu négocier ton MTU ? comment vas tu vérifier que ta machine est toujours 'vivante' ? Comment vas tu obtenir diverses informations renvoyées par l'ICMP qui peuvent te permettre de débugger ta connectivité ?
l'ICMP aporte quelques informations à l'attaquant, mais ces informations ne sont pas vitales et peuvent être récupérées autrement. En gros tu l'embetes 5minutes, et toi tu peux avoir de gros soucis en cas de problèmes.
J'utilise pas de MTU sur ma machine, je teste si ma machine est vivante en me connectant dessus par SSH, et pour débugguer ma connectivité, je débloque l'ICMP.
C'est vrai que ça n'est pas toujours judicieux dans certains cas (serveurs...), mais bloquer l'ICMP permet d'éviter à ceux qui veulent trouver des IP qui marchent (scan de plage par exemple) de les découvrir avec de simples ping.
Une technique que j'avais lue dans un MISC, c'est dès que le scan est détecté il est forwardé vers une machine poubelle.
Pourquois pas forwarder vers une machine virtuelle vmware ?
Si je parviens à détecter le scan, pourquoi ne pas droper ? A moins que suite au drop nmap ne relance un autre scan d'une autre manière que je ne détecte pas (tandisque dans le cas du forwarding, il serait simplement trompé). Ai-je vu juste ? Si oui tu peut me dire comment faire cett redirection ?
# RE bloquer les scans à la nmap avec iptables.
Posté par cyriltom . Évalué à 1.
Le plus simple est de fermer tous les services dont les ports son vu par Nmap, si pas d'utilité bien sur...
ajouter une régle du type : iptables -A FORWARD -p tcp -tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
et pourquoi pas un IDS.
Il est tellement puissant se nmap que je pense pas que l'on puise le bloquer totalement.
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par Henry-Nicolas Tourneur (site web personnel) . Évalué à 1.
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par ragoutoutou . Évalué à 2.
-A INPUT -j smart-drop
-A smart-drop -m limit --limit 10/min -j DROP
-A smart-drop -p tcp -m limit --limit 1/sec -j REJECT --reject-with tcp-reset
-A smart-drop -p udp -m limit --limit 1/sec -j REJECT --reject-with icmp-port-unreachable
-A smart-drop -m limit --limit 1/min -j REJECT --reject-with icmp-host-prohibited
-A smart-drop -m limit --limit 10/sec -j DROP
-A smart-drop -m limit --limit 1/sec -j LOG --log-prefix "POSSIBLE-ATTACK"
-A smart-drop -j DROP
En général, ça peut rendre les résultats du scan très incohérents, mais surtout, ça peut ralentir le scan dramatiquement...
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par Moogle . Évalué à 2.
Après y'a surement des programmes ou scripts bien plus évolués qui permettent de "bannir" une IP dès qu'une tentative de scan est détectée.
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par Toto . Évalué à 2.
l'ICMP aporte quelques informations à l'attaquant, mais ces informations ne sont pas vitales et peuvent être récupérées autrement. En gros tu l'embetes 5minutes, et toi tu peux avoir de gros soucis en cas de problèmes.
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par Moogle . Évalué à 2.
C'est vrai que ça n'est pas toujours judicieux dans certains cas (serveurs...), mais bloquer l'ICMP permet d'éviter à ceux qui veulent trouver des IP qui marchent (scan de plage par exemple) de les découvrir avec de simples ping.
[^] # Re: RE bloquer les scans à la nmap avec iptables.
Posté par Henry-Nicolas Tourneur (site web personnel) . Évalué à 1.
# Redirection
Posté par raboliot . Évalué à 1.
Pourquois pas forwarder vers une machine virtuelle vmware ?
[^] # Re: Redirection
Posté par Henry-Nicolas Tourneur (site web personnel) . Évalué à 1.
[^] # Re: Redirection
Posté par raboliot . Évalué à 1.
Je vais faire un petite recherche
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.