Iptables DDOS

Support Debian
#1

Salut tous,

DDOS attaque étant à la mode et pas facile d’arrêter, je propose d’ouvrir un post pour partager les règles iptables ou autre pour se protéger contre ce genre d’attaque.

Voici ce que Grhim propose dans un autre post

ya de bon trucs ici pour se proteger du DOs DDos
debian-administration.org/articles/187

nhfr.org/securite-f54/se-pro … -t4536.htm

Vous pouvez ajouter vos règles ou commentaires pour contrer ces menaces.

#2

Salut,

Première précaution : Séparer /temp et /var dans des espaces distincts respectant les 5% réservés à root pour qu’il puisse effacer les parasites :slightly_smiling:

#3

[quote=“ggoodluck47”]Salut,

Première précaution : Séparer /temp et /var dans des espaces distincts respectant les 5% réservés à root pour qu’il puisse effacer les parasites :slightly_smiling:[/quote]

Bonne remarque ggodluck47 et merci pour la partage :023

#4

On peut aussi utiliser la correspondance limit contre le DOS : frozentux.net/iptables-tutor … LIMITMATCH
Cependant, d’après les echos que j’ai eu, ça ralentirait trop le débit, à consommer avec modération…

La cible recent (dans le premier lien que tu donnes) peut aussi être utilisé contre le scan de ports.
Par exemple, si on veut bloquer tous ceux qui tenteraient de se connecter au port 80 (admettons que la machine n’héberge pas un site web) :

iptables -A INPUT -m recent --name badguy --update -j DROP
iptables -A INPUT -m tcp --dport 80 -m recent --name badguy --set -j DROP

Lorsque qu’il tente de scanner le port 80, il tombe sur la seconde règle, qui l’inscrit comme « badguy ». Dès lors, quand il réessaye de se connecter à un autre port, il est droppé par la première règle, même si le port est ouvert par une troisième règle qui suit ces deux là…

#5

Les correspondances iptables de type limit ou recent sont à utiliser avec grande précaution, car sinon elles peuvent être exploitées pour provoquer un déni de service.

Bien vu en revanche pour /var/. Je me rappellerai longtemps la mésaventure qui m’est arrivée quand un ami m’avait demander de faire un scan de ports sur sa machine pour tester son pare-feu. Rapidement, il m’appelle, affolé : “Qu’est-ce que tu as fait ? Mon PC ne répond plus !” Je suis surpris ; je n’ai fait qu’un bête scan de base avec nmap sans rien de méchant, que même mon vieux 486 encaisse sans broncher. Il s’est avéré que les logs générés par le pare-feu suite au scan avaient rempli le disque dur…

Depuis, je ne fais plus de scan pour les copains, ou alors très ciblés sur quelques ports.