Prevención Dinámica de Ataques con IPTables.

Transcripción

1 Prevención Dinámica de Ataques con IPTables

2 Modelo OSI

3 Intro a Firewalls Firewall de Host vs Firewall de Red Stateless vs Stateful Firewalls Firewalls vs IDS/IPS Firewalls vs UTM/NGFW

4 Intro a IPTables Firewall con inspección de estados (Stateful) Incluído desde kernel 2.4 (año 2000) Listas de reglas para toma de decisiones Filtrado IPv4, IPv6 (ip6tables) y Ethernet (ebtables)

5 Conceptos Básicos Cadenas, Tablas y Reglas Las reglas se leen de arriba hacia abajo Se aplican las reglas que concuerdan Se detiene si se llega a una acción terminante Acciones terminantes: ACCEPT, DROP, REJECT

6 Flujo de Paquetes

7 Reglas Básicas # Abrir el puerto TCP/80 para todos iptables -A INPUT -p tcp --dport 80 -j ACCEPT # Descartar el tráfico que venga desde iptables -A INPUT -s j DROP # Aceptar paquetes de conexiones ya establecidas iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # Escribir logs iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets" # Listar reglas configuradas iptables -L -n -v

8 Ejemplo WorkStation iptables -X iptables -F iptables -Z iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

9 Ejemplo WebServer iptables -X iptables -F iptables -Z iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p -tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -s j ACCEPT iptables -A INPUT -p icmp -j ACCEPT iptables -A OUTPUT -p udp --dport 53 -d j ACCEPT

10 Filtras Ataques DoS #Limitar a 50 conexiones simultáneas desde la misma IP iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 50 -j DROP Demo en vivo! :)

11 Threat Intelligence Tomar información desde sitios públicos Definir reglas que bloqueen hosts maliciosos Actualizar periódicamente las reglas Permite protegernos de atacantes conocidos

12 Fuentes Externas

13 Script de Ejemplo

14 Script de Ejemplo #!/bin/bash URL=" REGEX="([0-9]{1,3}[\.]){3}[0-9]{1,3}" for IP in $(curl -s $URL grep -E -o $REGEX) do echo iptables -A INPUT -s $IP -j DROP done

15 Script de Ejemplo $ bash update-zeus.sh iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP iptables -A INPUT -s j DROP...

16 Problemas Las reglas se mezclan Bajo rendimiento (performance) Primero hay que limpiar reglas anteriores Condiciones de carrera (tiempo sin reglas) NOTA: Varios de estos problemas se pueden resolver utilizando chains personalizadas, aunque no del todo.

17 Presentando IPSets Listas o sets de direcciones IP, puertos, etc Pueden asociarse a reglas de filtrado de iptables Muy alto rendimiento Simplifican la gestión de las reglas

18 Comandos Básicos # Crear un set del tipo hash:net ipset create zeus hash:net # Agrega una IP al set ipset add zeus # Verifica si una IP está dentro del set ipset test zeus # Limpia todas las entradas de un set ipset flush zeus

19 IPTables + IPSets

20 IPTables + IPSets #!/bin/bash URL=" REGEX="([0-9]{1,3}[\.]){3}[0-9]{1,3}" ipset create zeus hash:net -exist ipset flush zeus for IP in $(curl -s $URL grep -E -o $REGEX) do ipset add zeus $IP done

21 IPTables + IPSets # Bloquear el tráfico desde las IP que están en el IPSet iptables -A INPUT -m set --match-set zeus src -j DROP # Bloquear el tráfico hacia las IP que están en el IPSet iptables -A OUTPUT -m set --match-set zeus dst -j DROP

22 Problemas Las reglas se mezclan Bajo rendimiento (performance) Primero hay que limpiar reglas anteriores Condiciones de carrera (tiempo sin reglas)

23 IPSets Swap Capacidad de los sets para intercambiarse # Intercambia el contenido de los sets ipset swap set_uno set_dos

24 IPSets Swap

25 IPSets Swap #!/bin/bash URL=" REGEX="([0-9]{1,3}[\.]){3}[0-9]{1,3}" ipset create zeus hash:net -exist ipset create zeus_tmp hash:net -exist ipset flush zeus_tmp for IP in $(curl -s $URL grep -E -o $REGEX) do ipset add zeus_tmp $IP done ipset swap zeus zeus_tmp ipset destroy zeus_tmp

26 Problemas Las reglas se mezclan Bajo rendimiento (performance) Primero hay que limpiar reglas anteriores Condiciones de carrera (tiempo sin reglas)

27 Detección de Escaneos Herramientas externas (psad, snort, suricata) Análisis de Logs (sec, logsentry, fail2ban) HoneyPorts ;)

28 HoneyPorts Herramientas externas (psad, snort, suricata) Análisis de Logs (sec, logsentry, fail2ban) HoneyPorts ;)

29 HoneyPorts

30 HoneyPorts #!/bin/bash ipset create honeyport bitmap:port range exist ipset flush honeyport HONEYPORTS=" " for PORT in $HONEYPORTS do ipset add honeyport $PORT done

31 HoneyPorts # Si paquete a honeyport, recordamos el recent 'portscan' iptables -A INPUT -m set --match-set honeyport dst -m recent --name portscan --set # Si en 10 segundos + de 2 paquetes, dropeamos iptables -A INPUT -m recent --name portscan --update --seconds 10 --hitcount 2 -j DROP

32 IPTables Recent # Los recents son expuestos a través de /proc cat /proc/net/xt_recent/portscan src= ttl: 64 last_seen: oldest_pkt: , , , ,

33 Preguntas?

34 Muchas Gracias! Fabian Martinez Portantier Javier J. Vallejos Martinez Securetia Alicia M de Justo 1120 T: