Re: [KFUG] ipfw와 portsentry에 대해 질문드립니다.

[Pyun YongHyeon <yongari@xxxxxxxxxxx>]

On Thu, Oct 21, 2004 at 10:33:48PM +0900, 김기성 wrote:
 > ipfw설정을 커널파일에 넣어주고 rc.conf에 firewall_enable="YES" 와 firewall_type="open" 으로 해주었습니다.
 > 
 > 그리고 포트센트리를 ports에서 설치하여 스텔스 모드를 설정하였습니다. 
 > 
 > 그런데 로그폴더에 http-access.log와 error.log 파일을 보니...cmd.exe 파일과 연속된 
 > 
 > "\xb1\x02\xb1\x02\xb1\x02\xb1\" 문자와 " 아파치 루트폴더에 _music128" 이런 문자가 있네요...
 > 
 > ip를 보니 미국, 중국등에서 접속을 하는건지 스캔을 하는거 같은데...스캔과 웜같은 것을 막으려면 어떻게 해야
 > 
 > 할까요...로그파일 분석에 대한 자료가 있으면 참 좋을듯 하네요...ㅠ.ㅠ....한번 이런 스캔이나 웜이 들어오면 
 > 
 > 자동으로 그 ip는 접속을 못하게 막았으면 좋겠네요....^^...

이건 좋은 방법이 아닙니다. 윈도를 쓰는 대부분의 사용자는 한두번씩은
윔같은것에 감염된 경험이 있을습니다. 만일 이런걸 막는다면 다시는
특정 사이트에 접속하지 못하는 경우가 발생합니다. 또한 대부분의 DSL
사용자의 IP는 고정이 아니라 계속 변하니까 단순히 IP를 막는건 큰 의미
가 없습니다. portsenty같은것의 log를 보고 기록된 모든 IP를 막아버리면
아마도 몇일안에 Internet에서 분리될겁니다.

좀 더 안전한 방법은 아마도 특정 IP에서 생성(접속)할 수 있는 state수를
제한 하는게 바람직해 보입니다. pf(4)의 max-src-nodes나 max-src-states등을
사용할 수 있습니다.
-- 
Regards,
Pyun YongHyeon
http://www.kr.freebsd.org/~yongari	|	yongari@xxxxxxxxxxx
_______________________________________________
한국 FreeBSD 사용자 그룹(KFUG) questions 메일링 리스트
questions at kr.FreeBSD.org
http://www.kr.FreeBSD.org/mailman/listinfo/questions