Scanery. Jak się obronić?

Question

Każdy z Was, kto ma jakikolwiek serwer z publicznym ip pewnie zna ten problem, kiedy patrzysz w logi a tam: 83.170.73.249 - - [06/Apr/2015:22:02:42 +0200] "CONNECT 213.92.8.7:31204 HTTP/1.0" 200 8699 "-" "-"

Jak się obronić przed czymś takim?
I co to właściwie robi jak zamiast GETa czy POSTa ktoś mi puszcza takiego CONNECTa? 

I jeszcze jedno pytania co do configa fail2ban-a. Na Debianie to jest /etc/fail2ban/jail.conf
Czym jest [apache-noscript] oraz [apache-overflows] i czy warto to włączać? 

Answer 1

Musisz zainstalowac i skonfigorowac iptables

Pozdrawiam.

Comments

apt-get install?

---

Tutaj masz dokumentacje do Ubuntu.

https://help.ubuntu.com/community/IptablesHowTo

 

Pozdrawiam.

---

Wiec jesli masz Ubuntu to masz juz iptables tylko musisz odpowiednio je skonfigurowac.

---

Mam Debiana i mam iptables :D Dzięki wielkie, coś wykombinuje ;)

Answer 2

Akceptacja zapytania HTTP typu CONNECT, powoduje, że zdalny serwer czyni rolę proxy. Klient w taki sposób rozpoczyna inicjalizację tunelu HTTP. W powyższym fragmencie klient o adresie 83.170.73.249 domaga się tunelowania jego połączenia do serwera 213.92.8.7 na port 31204 przez twój serwer. Skonfiguruj swój serwer, aby nie respektował zapytań tego typu i po sprawie. Możesz to zrobić alternatywnie przy użyciu iptables:

iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'CONNECT' -j DROP

Powyższe polecenie wycina wszystkie połączenie na docelowy (twój) port 80/tcp zawierające w pakiecie ciąg znaków 'CONNECT'. Musisz z każdym uruchomieniem systemu wbijać tą regułkę lub użyj pakietu iptables-persistent

Comments

No tak też myślałem, że o to w tym chodzi. :P Dzięki za sposób obrony, na pewno spróbuje.