除了protsentry.conf,portsentry还提供了一些其他的配置文档,我们能够在portsentry.conf中找到这些文档的位置:
#
# Hosts to ignore
IGNORE_FILE="/etc/portsentry/portsentry.ignore"
# Hosts that have been denied (running history)
HISTORY_FILE="/etc/portsentry/portsentry.history"
# Hosts that have been denied this session only (temporary until next restart)
BLOCKED_FILE="/etc/portsentry/portsentry.blocked"
#
/etc/portsentry/portsentry.ignore:包括了不想阻塞的任何IP地址的列表,默认是分配给本地主机的任何IP地址都被添加到此
文档
/etc/portsentry/portsentry.history:此文档曾访问您的主机而被阻塞的任何IP地址的列表
/etc/portsentry/portsentry.blocked.*:此文档包括当前访问您的主机而被阻塞的任何主机IP的列表
portsentry.blocked.tcp:文档包括不恰当扫描TCP端口的主机IP地址
portsentry.blocked.udp:文档包括不恰当扫描UDP端口的主机的IP地址
访问本地主机的端口只会在当前会话中被阻塞,也就是说,知道系统reboot或portsentryRELOAD,因此,要永久的排斥这些远程主机
,就需要引入一些其他的限制措施,例如,使用/etc/hosts.deny文档,防火墙规则或重路由等
3)选择响应方式
扫描端口,就象敲房子的门,检查是否上锁相同,大多数情况下,这表明有人在寻找您的系统的弱点,这就是为什么当另外一个主机
扫描您的端口,portsentry的反应是阻塞他进一步的访问的原因!但是,没有永久阻塞访问的行为.在portsetnry.conf文档中,BLOCK_UDP
和BLOCK_TCP选项配置端口被扫描时采取的自动响应方式:
BLOCK_UDP="2"
BLOCK_TCP="2"
引号里的数字绝顶了另外的主机扫描您的端口时portsentry的反应!
@"0"表示扫描端口会被记录日志,但是并不阻塞
@"1"表示触发KILL_ROUTE和KILL_HOSTS_DENY的运行.
@"2"表示对扫描协议服务(TCP或UDP)的访问被临时阻塞并被记录,而且,假如KILL_RUN_CMD选项运行任何命令,则该命令被执行(2是默认选项)
@KILL_ROUTE:这个选项运行/sbin/route命令对远程主机到一个无响应的主机的请求重路由:
KILL_ROUTE="/sbin/route add -host $TARGET$ gw 333.444.555.666"
也能够用iptables规则拒绝访问
@HILL_HOSTS_DENY:这个选项用来拒绝对任何TCP包封保护的网络服务的请求:
KILL_HOSTS_DENY="ALL: $TARGET$"
用入侵者的IP代替$TARGET$变量,并且将所说的行加入到/etc/sysconfig/iptables里
假如远程主机的IP是1.2.3.4,那么在/etc/hots.deny中应该是这样的:
ALL:1.2.3.4
@KILL_RUN_CMD:不是用防火墙,重路由,或TCP封装拒绝远程主机的访问,而是用您喜欢的命令来响应.将BLOCK_TCP和BLOCK_UDP
选项的值设定是2,运行KILL_RUN_CMD的值响应对监控端口的扫描.如:
KILL_RUN_CMD="/path/script $TARGET$ $PORT$"
记住:不要用KILL_RUN_CMD报复扫描您的主机,因为很有可能扫描
您的主机本身自己也被攻击,更有,报复,只能刺激入侵者下一步的攻击!
@PORT_BANNER:能够发送信息给通过配置PORT_BANNER选项关闭portsentry监控的人,默认是没有信息被定义的.然而,能够去掉下面
的注释使用该信息(不要滥用信息):
PORT_BANNER="** UNAUTHORIZED ACCESS PROHIBITED ** YOUR CONNECTION ATTEMPT HAS
BEEN LOGGED. GO AWAY."
在关闭上面描述的响应前,能够使用SCAN_TRIGGER选项来配置portsentry将接收的入侵主机的扫描号,默认配置如下:
SCAN_TRIGGER="0"
"0"意味着不接受任何入侵系统的扫描.
continue....
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
