Portsentry - Historique des versions

Ddevleeschauwer : /* Envoi d'un mail */

2015-02-26T11:24:41Z

‎Envoi d'un mail

Ddevleeschauwer : /* Envoi d'un mail */

2015-02-26T11:23:27Z

‎Envoi d'un mail

Ddevleeschauwer : /* Tests */

2015-02-26T11:21:57Z

‎Tests

Ddevleeschauwer : /* Configuration de Portsentry */

2015-02-26T09:51:02Z

‎Configuration de Portsentry

Ddevleeschauwer le 26 février 2015 à 09:45

2015-02-26T09:45:03Z

Ddevleeschauwer : /* Tests */

2015-02-25T14:06:25Z

‎Tests

Ddevleeschauwer : /* Tests */

2015-02-25T14:06:01Z

‎Tests

Ddevleeschauwer : /* Configuration de Portsentry */

2015-02-25T14:05:29Z

‎Configuration de Portsentry

Ddevleeschauwer : Page créée avec « = Présentation = Nos serveurs accessibles depuis internet sont de plus en plus vulnérables aux attaques, d’où ce tutoriel où je vais vous parler de Portsentry. Cet... »

2015-02-25T14:05:08Z

Page créée avec « = Présentation = Nos serveurs accessibles depuis internet sont de plus en plus vulnérables aux attaques, d’où ce tutoriel où je vais vous parler de Portsentry. Cet... »

Nouvelle page

= Présentation =

Nos serveurs accessibles depuis internet sont de plus en plus vulnérables aux attaques, d’où ce tutoriel où je vais vous parler de Portsentry. Cet outil permet de détecter et de bloquer tout individu scannant les ports de votre machine.

= Installation =

L’installation se fait simplement via apt :
 
{{ console root | apt-get update && apt-get install portsentry }}
 

= Configuration =

Par défaut, Portsentry ne bloque rien et nous allons devoir le configurer afin de détecter et bloquer le scan de ports. Il va falloir modifier le fichier où sont notifiées les adresses IPs à ne pas bloquer afin de ne pas se bloquer soi-même. Pour cela il existe 2 fichiers : {{ File | portsentry.ignore }} et {{ File | portsentry.ignore.static }}. Toutes les IPs que vous allez ajouter dans '''portsentry.ignore.static''' seront ajoutées dans '''portsentry.ignore''' après un redémarrage du service portsentry.

Je décide de modifier le fichier {{ File | /etc/portsentry/portsentry.ignore }} et de vérifier que l’adresse 127.0.0.1 soit bien définie :

<pre>
# IP déjà notifié dans le fichier :

127.0.0.1/32
0.0.0.0

# autres @ip que vous souhaitez xxx.xxx.xxx.xxx
</pre>

== Configuration de Portsentry ==

Si vous choisissez les modes atcp et audp (“a” signifie avancé) dans /etc/defaults/portsentry, inutile de préciser les ports, Portsentry va vérifier les ports utilisés et automatiquement “lier” les ports disponibles. C’est l’option la plus efficace. Donc avec cette option, portsentry établit une liste des ports d’écoute, TCP et UDP, et bloque l’hôte se connectant sur ces ports sauf s’il est présent dans le fichier portsentry.ignore configuré auparavant.

Modification du fichier {{ File | /etc/default/portsentry }} :
<pre>
Remplacer
TCP_MODE="tcp"
UDP_MODE="udp"

Par
TCP_MODE="atcp"
UDP_MODE="audp"
</pre>

À présent nous allons nous attaquer au fichier de configuration principale : '''portsentry.conf'''
 
{{ Console root | sudo nano /etc/portsentry/portsentry.conf }}


Mettez en place le blocage en modifiant la section “Ignore options” de la façon suivante :

<pre>
##################
# Ignore Options #
##################
...
# 0 = Do not block UDP/TCP scans.
# 1 = Block UDP/TCP scans.
# 2 = Run external command only (KILL_RUN_CMD)
BLOCK_UDP="1"
BLOCK_TCP="1"
</pre>

Si comme moi vous utilisez Iptables, commentez toutes les lignes commençant par “KILL_ROUTE” sauf cette dernière qui permet de bloquer les IPs des machines pirates :

<pre>
KILL_ROUTE="/sbin/iptables -I INPUT -s $TARGET$ -j DROP"
</pre>

Redémarrez le service Portsentry :
 
{{ Console root | sudo service portsentry restart }}
 

Pour vérifier que Portsentry a bien démarré, taper la commande suivante :
 
{{ Console root | sudo tail -n 5 /var/log/syslog }}
 

Cette dernière devrait vous retourner ce message :
<pre>
portsentry[30088]: adminalert: PortSentry is now active and listening.
</pre>

= Tests =

Sur une autre machine, nous allons effectuer un scan des ports de la machine précédemment configurée avec nmap :
<pre>
# nmap -v 192.168.x.x

Starting Nmap 5.00 ( http://nmap.org ) at 2015-01-05 16:08 EAT
NSE: Loaded 0 scripts for scanning.
Initiating ARP Ping Scan at 16:08
Scanning 192.168.x.x [1 port]
Completed ARP Ping Scan at 16:08, 0.06s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 16:08
Completed Parallel DNS resolution of 1 host. at 16:08, 6.50s elapsed
Initiating SYN Stealth Scan at 16:08
Scanning sidlol.zehome.org (192.168.x.x) [1000 ports]
Discovered open port 111/tcp on 192.168.x.x
Discovered open port 80/tcp on 192.168.x.x
Discovered open port 22/tcp on 192.168.x.x
Discovered open port 143/tcp on 192.168.x.x
...
Completed SYN Stealth Scan at 16:08, 0.12s elapsed (2002 total ports)
Host sidlol.zehome.org (10.9.8.2) is up (0.000047s latency).
Interesting ports on sidlol.zehome.org (192.168.x.x):
Not shown: 1988 closed ports
PORT STATE SERVICE
1/tcp open tcpmux
11/tcp open systat
15/tcp open netstat
22/tcp open ssh
79/tcp open finger
80/tcp open http
...
MAC Address: xx:xx:xx:xx:xx:xx (xxxxx)

Read data files from: /usr/share/nmap
Nmap done: 1 IP address (1 host up) scanned in 6.95 seconds
Raw packets sent: 2003 (88.130KB) | Rcvd: 2011 (80.594KB)
</pre>

Si on regarde à présent sur le serveur hébergeant portsentry :
 
{{ Console root | sudo grep attackalert /var/log/syslog }}
 
<pre>
portsentry[30084]: attackalert: TCP SYN/Normal scan from host: 192.168.x.x/192.168.x.x to TCP port: 22
portsentry[30084]: attackalert: Host: 192.168.x.x/192.168.x.x is already blocked Ignoring
portsentry[18127]: attackalert: TCP SYN/Normal scan from host: 192.168.x.x/192.168.x.x to TCP port: 79
portsentry[18127]: attackalert: Host 192.168.x.x has been blocked via wrappers with string: "ALL: 192.168.x.x : DENY"
portsentry[18127]: attackalert: Host 192.168.x.x has been blocked via dropped route using command: "/sbin/iptables -I INPUT -s 192.168.x.x -j DROP"
portsentry[18127]: attackalert: External command run for host: 192.168.x.x using command: "/sbin/iptables -I INPUT -s 192.168.x.x -j DROP && /sbin/iptables -I INPUT -s 1
</pre>

 
{{ Console root | sudo cat /etc/hosts.deny }} :
 
<pre>
ALL: 192.168.x.x : DENY
</pre>

 
{{ Console root | sudo iptables -S }}
 
<pre>
-À INPUT -s 192.168.x.x/32 -j DROP
</pre>

 
{{ Console root | route }}
 
<pre>
192.168.x.x - 255.255.255.255 !H 0 - 0 -
</pre>

= Conclusion =

À présent l’adresse IP de notre pirate a été détectée par Portsentry et bloquée par IPtables. Outil très sympa qui rajoute une couche de sécurité à vos serveurs. Dans la continuité de cet article, il serait intéressant de créer un script nous avertissant par e-mail qu’une intrusion a été détectée et bloquée.

@@ Ligne 188 : / Ligne 188 : @@
 </pre>
 <br>
-{{ Avertissement | Dans la commande, j'ai rajouté le fait qu'il ajoute l'adresse IP dans le fichier {{ File | /etc/fail2ban/ip.blacklist }} pour que [[Fail2ban]] puisse le bannir également }}
+{{ Avertissement | Dans la commande, j'ai rajouté le fait qu'il ajoute l'adresse IP dans le fichier {{ File | /etc/fail2ban/ip.blacklist }} pour que [[Fail2ban#Ban_persistant|Fail2ban]] puisse le bannir également }}
 <br>
 Vous pourrez modifier la valeur de SCAN_TRIGGER et placer un niveau d'alerte. Par défaut c'est "0" : la réaction est immédiate. De mon coté je l'ai laissé à "0" et je la changerai si ça me pose des problèmes.

@@ Ligne 156 : / Ligne 156 : @@
 Nous allons écrire un script qui va envoyer un mail avec les informations suivante : l'IP initiatrice du scan, le port scanné, le mode de scan (atcp ou audp) et des infos complémentaires sur l'adresse IP ( via whois ).
 On crée le script dasn {{ File | /etc/portsentry/scan_report }}
 <syntaxhighlight lang=bash>
@@ Ligne 177 : / Ligne 178 : @@
 ) | mail -s "$SUJET" "$MAIL"
 </syntaxhighlight>
 On n'oublie pas de rendre le script exécutable
 <br>
@@ Ligne 186 : / Ligne 188 : @@
 </pre>
 <br>
-{{ Avertissement | Dans la commande, j'ai rajouté le fait qu'il ajoute l'adresse IP dans le fichier {{ File | /etc/fail2ban/ip.blacklist }} pour que Fail2ban puisse le bannir également }}
+{{ Avertissement | Dans la commande, j'ai rajouté le fait qu'il ajoute l'adresse IP dans le fichier {{ File | /etc/fail2ban/ip.blacklist }} pour que [[Fail2ban]] puisse le bannir également }}
 <br>
 Vous pourrez modifier la valeur de SCAN_TRIGGER et placer un niveau d'alerte. Par défaut c'est "0" : la réaction est immédiate. De mon coté je l'ai laissé à "0" et je la changerai si ça me pose des problèmes.
@@ Ligne 192 : / Ligne 194 : @@
 La configuration effectuée, vous pouvez maintenant relancer portsentry
 <br>
-{{ COnsole root | sudo service portsentry restart }}
+{{ Console root | sudo service portsentry restart }}
 <br>

← Version précédente		Version du 26 février 2015 à 09:45
Ligne 156 :		Ligne 156 :

	À présent l’adresse IP de notre pirate a été détectée par Portsentry et bloquée par IPtables. Outil très sympa qui rajoute une couche de sécurité à vos serveurs. Dans la continuité de cet article, il serait intéressant de créer un script nous avertissant par e-mail qu’une intrusion a été détectée et bloquée.		À présent l’adresse IP de notre pirate a été détectée par Portsentry et bloquée par IPtables. Outil très sympa qui rajoute une couche de sécurité à vos serveurs. Dans la continuité de cet article, il serait intéressant de créer un script nous avertissant par e-mail qu’une intrusion a été détectée et bloquée.
		+
		+	[[Catégorie:Système]]

@@ Ligne 133 : / Ligne 133 : @@
 <br>
-{{ Console root | sudo cat /etc/hosts.deny }} :
+{{ Console root | sudo cat /etc/hosts.deny :}}
 <br>
 <pre>

@@ Ligne 152 : / Ligne 152 : @@
 .168.x.x - 255.255.255.255 !H 0 - 0 -
 </pre>
 = Conclusion =

@@ Ligne 40 : / Ligne 40 : @@
 </pre>
-À présent nous allons nous attaquer au fichier de configuration principale : '''portsentry.conf'''
+À présent nous allons nous attaquer au fichier de configuration principale : {{ File | portsentry.conf }}
 <br>
 {{ Console root | sudo nano /etc/portsentry/portsentry.conf }}

@@ Ligne 43 : / Ligne 43 : @@
 <br>
 {{ Console root | sudo nano /etc/portsentry/portsentry.conf }}
-</br>
+<br>
 Mettez en place le blocage en modifiant la section “Ignore options”  de la façon suivante :