So testen Sie Ihre Firewall-Konfiguration mit Nmap und Tcpdump

Mit Paketanalysatoren kann der gesamte Netzwerkverkehr, der über eine Schnittstelle übertragen wird, detailliert überwacht werden. Die meisten Paketanalysatoren haben die Möglichkeit, in Echtzeit zu arbeiten, die gesendeten oder empfangenen Pakete anzuzeigen oder Paketinformationen in eine Datei zu schreiben und zu einem späteren Zeitpunkt zu verarbeiten. Mit der Paketanalyse können wir detailliert feststellen, welche Arten von Antworten unsere Zielcomputer an Hosts im offenen Netzwerk zurücksenden.

Für die Zwecke unseres Handbuchs verwenden wir das Tooltcpdump. Dies ist eine gute Option, da sie auf Linux-Systemen leistungsstark, flexibel und allgegenwärtig ist. Wir werden es verwenden, um die Rohpakete zu erfassen, während wir unsere Tests durchführen, falls wir das Transkript für eine spätere Analyse benötigen. Einige andere beliebte Optionen sind Wireshark (odertshark, sein Befehlszeilen-Cousin) undtcpflow, mit denen ganze TCP-Konversationen auf organisierte Weise zusammengesetzt werden können.

Um den Datenverkehr und die Antworten für die Erfassung durch unseren Paketanalysator zu generieren, verwenden wir einen Port-Scanner. Mit Port-Scannern können verschiedene Pakettypen erstellt und an Remote-Hosts gesendet werden, um den vom Server akzeptierten Verkehrstyp zu ermitteln. Böswillige Benutzer verwenden dieses Tool häufig als Erkennungswerkzeug, um nach anfälligen Diensten zu suchen, die ausgenutzt werden können (ein Teil des Grundes für die Verwendung einer Firewall). Wir werden es daher verwenden, um zu ermitteln, was ein Angreifer entdecken könnte.

In diesem Handbuch verwenden wir das Netzwerkzuordnungs- und Port-Scan-Tool vonnmap. Wir könnennmap verwenden, um Pakete verschiedener Typen zu senden, um herauszufinden, welche Dienste sich auf unserem Zielcomputer befinden und welche Firewall-Regeln ihn schützen.

Bevor wir scannen, richten wirtcpdump ein, um den durch den Test erzeugten Verkehr zu erfassen. Auf diese Weise können wir die gesendeten und empfangenen Pakete später genauer analysieren, wenn dies erforderlich ist. Erstellen wir ein Verzeichnis innerhalb von~/scan_results, damit wir die mit unserem SYN-Scan verbundenen Dateien zusammenhalten können:

Wir können die Erfassung vontcpdumptarten und die Ergebnisse mit dem folgenden Befehl in eine Datei in unserem Verzeichnis~/scan_results/syn_scanchreiben:

Standardmäßig wirdtcpdump im Vordergrund ausgeführt. Um unserennmap-Scan im selben Fenster auszuführen, müssen wir dentcpdump-Prozess anhalten und ihn dann im Hintergrund neu starten.

Wir können den laufenden Prozess anhalten, indem wirCTRL-Z drücken:

Dies wird den laufenden Prozess anhalten:

Jetzt können Sie den Job im Hintergrund neu starten, indem Siebg eingeben:

Sie sollten eine ähnliche Ausgabezeile sehen, diesmal ohne die Bezeichnung "Gestoppt" und mit einem kaufmännischen Und am Ende, um anzuzeigen, dass der Prozess im Hintergrund ausgeführt wird:

Der Befehl wird jetzt im Hintergrund ausgeführt und sucht nach Paketen, die zwischen unserem Audit und den Zielcomputern gesendet werden. Wir können jetzt unseren SYN-Scan ausführen.

Wenntcpdump unseren Datenverkehr zum Zielcomputer aufzeichnet, können wirnmap ausführen. Wir werden die folgenden Flags verwenden, umnmap zu erhalten, um die erforderlichen Aktionen auszuführen:

Note

[.note] # Eine Sache, die Sie beachten sollten, ist, dass Sie zum Überprüfen von IPv6 Ihren Befehlen das Flag-6hinzufügen müssen. Da die meisten vorausgesetzten Lernprogramme keinen IPv6-Datenverkehr akzeptieren, überspringen wir IPv6 für dieses Handbuch. Fügen Sie dieses Flag hinzu, wenn Ihre Firewall IPv6-Verkehr akzeptiert.
#

Zusammen sieht der Befehl ungefähr so ​​aus:

Selbst wenn die Zeitvorlage auf 4 eingestellt ist, wird der Scan wahrscheinlich einige Zeit in Anspruch nehmen, da er 65.535 Ports durchläuft (mein Testlauf dauerte ungefähr vierzig Minuten). Es werden Ergebnisse gedruckt, die ungefähr so ​​aussehen:

Sobald der Scan abgeschlossen ist, können wir unserentcpdump-Prozess wieder in den Vordergrund stellen und stoppen.

Bringen Sie es aus dem Hintergrund, indem Sie Folgendes eingeben:

Beenden Sie den Vorgang, indem Sie die Steuertaste gedrückt halten und "c" drücken:

Sie sollten jetzt zwei Dateien in Ihrem~/scan_results/syn_scan-Verzeichnis haben. Einer mit dem Namenpackets, der durch den Lauf vontcpdump generiert wurde, und einer mit dem Namennmap mit dem Namennmap.results.

Schauen wir uns zuerst dienmap.results-Datei an:

~/scan_results/syn_scan/nmap.results

Der hervorgehobene Bereich oben enthält die Hauptergebnisse des Scans. Wir können sehen, dass Port 22 und Port 80 auf dem gescannten Host geöffnet sind, um SSH- und HTTP-Verkehr zuzulassen. Wir können auch sehen, dass 65.533 Häfen geschlossen wurden. Ein weiteres mögliches Ergebnis wäre "gefiltert". Gefiltert bedeutet, dass diese Ports als von einem Element im Netzwerkpfad gestoppt identifiziert wurden. Es kann sich um eine Firewall auf dem Ziel handeln, aber es können auch Regeln auf einem der Zwischenhosts zwischen dem Prüf- und dem Zielcomputer gefiltert werden.

Wenn wir den tatsächlichen Paketverkehr sehen möchten, der an das Ziel gesendet und von diesem empfangen wurde, können wir diepackets-Datei wie folgt intcpdump zurücklesen:

Diese Datei enthält die gesamte Konversation, die zwischen den beiden Hosts stattgefunden hat. Sie können auf verschiedene Arten filtern.

Um beispielsweise nur den Verkehrsent zum Ziel anzuzeigen, können Sie Folgendes eingeben:

Um nur den Antwortverkehr anzuzeigen, können Sie den Wert für "dst" in "src" ändern:

Offene TCP-Ports würden auf diese Anfragen mit einem SYN-Paket antworten. Mit einem Filter wie diesem können wir direkt nach Antworten für diesen Typ suchen:

Dies zeigt nur die erfolgreichen SYN-Antworten an und sollte mit den Ports übereinstimmen, die Sie im Lauf vonnmapgesehen haben:

Sie können die Daten nach Belieben genauer analysieren. Es wurde alles für die asynchrone Verarbeitung und Analyse erfasst.

Erstellen wir noch einmal ein Verzeichnis, in dem unsere Ergebnisse gespeichert werden:

Starten Sie die Erfassung vontcpdump erneut. Schreiben Sie diesmal die Datei in das neue Verzeichnis~/scan_results/udp_scan:

Unterbrechen Sie den Vorgang und stellen Sie ihn in den Hintergrund:

Jetzt können wir den UDP-Scan ausführen. Aufgrund der Art des UDP-Protokolls dauert dieser Scan normalerweisesignificantly länger als der SYN-Scan. Tatsächlich kann es mehr als einen Tag dauern, wenn Sie jeden Port im System scannen. UDP ist ein verbindungsloses Protokoll. Wenn Sie also keine Antwort erhalten, kann dies bedeuten, dass der Port des Ziels blockiert ist, akzeptiert wurde oder das Paket verloren gegangen ist. Um zu versuchen, zwischen diesen zu unterscheiden, müssennmap zusätzliche Pakete erneut übertragen, um eine Antwort zu erhalten.

Die meisten Flags sind die gleichen, die wir für den SYN-Scan verwendet haben. Tatsächlich ist die einzige neue Flagge:

Bringen Sie den Prozesstcpdumpauf Ihrem Prüfcomputer wieder in den Vordergrund, indem Sie Folgendes eingeben:

Stoppen Sie die Paketerfassung, indem Sie die Taste gedrückt halten und "c" drücken:

Jetzt können wir uns die generierten Dateien ansehen.

Die resultierendenmap.results-Datei sollte der zuvor gezeigten ziemlich ähnlich sehen:

~/scan_results/udp_scan/nmap.results

Ein wesentlicher Unterschied zwischen diesem Ergebnis und dem früheren SYN-Ergebnis ist wahrscheinlich die Anzahl der mitopen|filtered gekennzeichneten Ports. Dies bedeutet, dassnmapnicht feststellen konnte, ob das Fehlen einer Antwort dazu führte, dass ein Dienst den Datenverkehr akzeptierte oder ob er von einer Firewall oder einem Filtermechanismus entlang des Übermittlungspfads gelöscht wurde.

Die Analyse der Ausgabe vontcpdumpist ebenfalls erheblich schwieriger, da keine Verbindungsflags vorhanden sind und ICMP-Antworten auf UDP-Anforderungen abgeglichen werden müssen.

Wir können sehen, wienmap viele Pakete an die Ports senden musste, die alsopen|filtered gemeldet wurden, indem wir nach dem UDP-Verkehr zu einem der gemeldeten Ports fragen:

Sie werden wahrscheinlich etwas sehen, das so aussieht:

Vergleichen Sie dies mit den Ergebnissen, die wir von einem der gescannten Ports sehen, der als "geschlossen" markiert war:

Wir können versuchen, den Prozess, dennmap durchläuft, manuell zu rekonstruieren, indem wir zuerst eine Liste aller Ports zusammenstellen, an die wir UDP-Pakete senden, indem wir Folgendes verwenden:

Dann können wir sehen, welche ICMP-Pakete wir zurückerhalten haben und sagen, dass der Port nicht erreichbar war:

Wir können sehen, welche UDP-Pakete niemals eine ICMP-Antwort erhalten haben, indem wir Folgendes eingeben:

Dies sollte größtenteils mit der Liste der Ports übereinstimmen, dienmapgemeldet haben (es kann einige Fehlalarme von verlorenen Rückgabepaketen enthalten).

Wir können versuchen, die Versionen von Diensten, die auf dem Ziel ausgeführt werden, durch einen Prozess zu erraten, der als Fingerabdruck bezeichnet wird. Wir rufen Informationen vom Server ab und vergleichen sie mit bekannten Versionen in unserer Datenbank.

Eintcpdump wäre in diesem Szenario nicht allzu nützlich, daher können wir es überspringen. Wenn Sie es trotzdem erfassen möchten, befolgen Sie den Vorgang, den wir das letzte Mal verwendet haben.

Der von uns verwendetenmap-Scan wird durch das-sV-Flag ausgelöst. Da wir bereits SYN- und UDP-Scans durchgeführt haben, können wir genau die Ports übergeben, die wir mit dem-p-Flag betrachten möchten. Hier sehen wir uns 22 und 80 (die Ports, die in unserem SYN-Scan angezeigt wurden) an:

Wenn Sie die resultierende Datei anzeigen, erhalten Sie möglicherweise Informationen über den ausgeführten Dienst, abhängig davon, wie "gesprächig" oder sogar wie eindeutig die Antwort des Dienstes ist:

~/scan_results/versions/service_versions.nmap

Hier können Sie sehen, dass der Test die SSH-Serverversion und die Linux-Distribution, die ihn gepackt hat, sowie die akzeptierte SSH-Protokollversion identifizieren konnte. Es erkannte auch die Version von Nginx und identifizierte sie erneut als mit einem Ubuntu-Paket übereinstimmend.

Wir können versuchen,nmapdas Host-Betriebssystem anhand der Eigenschaften seiner Software und der Antworten erraten zu lassen. Dies funktioniert ähnlich wie die Versionierung von Diensten. Wir werden dentcpdump-Lauf dieses Tests erneut weglassen, aber Sie können ihn ausführen, wenn Sie möchten.

Das Flag, das wir zur Durchführung der Betriebssystemerkennung benötigen, ist-O (der großgeschriebene Buchstabe „O“). Ein vollständiger Befehl könnte ungefähr so ​​aussehen:

Wenn Sie die Ausgabedatei anzeigen, wird möglicherweise Folgendes angezeigt:

~/scan_results/versions/os_versions.nmap

Wir können sehen, dass in diesem Fallnmap keine Vermutungen für das Betriebssystem hat, basierend auf der Signatur, die es gesehen hat. Wenn es mehr Informationen erhalten hätte, würden wahrscheinlich verschiedene Prozentsätze angezeigt, die angeben, wie die Signatur des Zielcomputers mit den Betriebssystemsignaturen in seinen Datenbanken übereinstimmt. Sie können die Fingerabdrucksignatur sehen, dienmapvom Ziel empfangen hat, unterhalb derTCP/IP fingerprint:-Zeile.

Mithilfe der Betriebssystemidentifikation kann ein Angreifer feststellen, welche Exploits für das System nützlich sein können. Wenn Sie Ihre Firewall so konfigurieren, dass weniger Anfragen beantwortet werden, kann dies die Genauigkeit einiger dieser Erkennungsmethoden beeinträchtigen.