使用portsentry保护你的电脑(3)

除了protsentry.conf,portsentry还提供了一些其它的配置文件,我们可以在portsentry.conf中找到这些文件的位置:
#
# Hosts to ignore
IGNORE_FILE="/etc/portsentry/portsentry.ignore"
# Hosts that have been denied (running history)
HISTORY_FILE="/etc/portsentry/portsentry.history"
# Hosts that have been denied this session only (temporary until next restart)
BLOCKED_FILE="/etc/portsentry/portsentry.blocked"
#
/etc/portsentry/portsentry.ignore:包括了不想阻塞的所有IP地址的列表,默认是分配给本地主机的所有IP地址都被添加到此 文件
/etc/portsentry/portsentry.history:此文件曾经访问你的主机而被阻塞的所有IP地址的列表
/etc/portsentry/portsentry.blocked.*:此文件包括当前访问你的主机而被阻塞的所有主机IP的列表
portsentry.blocked.tcp:文件包括不恰当扫描TCP端口的主机IP地址
portsentry.blocked.udp:文件包括不恰当扫描UDP端口的主机的IP地址
访问本地主机的端口只会在当前会话中被阻塞,也就是说,知道系统reboot或者portsentryRELOAD,因此,要永久的排斥这些远程主机 ,就需要引入一些其它的限制措施,例如,使用/etc/hosts.deny文件,防火墙规则或者重路由等

3)选择响应方式
扫描端口,就象敲房子的门,检查是否上锁一样,大多数情况下,这表明有人在寻找你的系统的弱点,这就是为什么当另外一个主机 扫描你的端口,portsentry的反应是阻塞他进一步的访问的原因!不过,没有永久阻塞访问的行为.在portsetnry.conf文件中,BLOCK_UDP 和BLOCK_TCP选项设置端口被扫描时采取的自动响应方式:
BLOCK_UDP="2"
BLOCK_TCP="2"
引号里的数字绝顶了另外的主机扫描你的端口时portsentry的反应!
@"0"表示扫描端口会被记录日志,但是并不阻塞
@"1"表示触发KILL_ROUTE和KILL_HOSTS_DENY的运行.
@"2"表示对扫描协议服务(TCP或UDP)的访问被临时阻塞并被记录,而且,如果KILL_RUN_CMD选项运行任何命令,则该命令被执行(2是默认选项)
@KILL_ROUTE:这个选项运行/sbin/route命令对远程主机到一个无响应的主机的请求重路由:
KILL_ROUTE="/sbin/route add -host $TARGET$ gw 333.444.555.666"
也可以用iptables规则拒绝访问
@HILL_HOSTS_DENY:这个选项用来拒绝对任何TCP包封保护的网络服务的请求:
KILL_HOSTS_DENY="ALL: $TARGET$"
用入侵者的IP代替$TARGET$变量,并且将所说的行加入到/etc/sysconfig/iptables里
如果远程主机的IP是1.2.3.4,那么在/etc/hots.deny中应该是这样的:
ALL:1.2.3.4

@KILL_RUN_CMD:不是用防火墙,重路由,或者TCP封装拒绝远程主机的访问,而是用你喜欢的命令来响应.将BLOCK_TCP和BLOCK_UDP 选项的值设定是2,运行KILL_RUN_CMD的值响应对监视端口的扫描.如:
KILL_RUN_CMD="/path/script $TARGET$ $PORT$"
记住:不要用KILL_RUN_CMD报复扫描你的主机,因为很有可能扫描 你的主机本身自己也被攻击,还有,报复,只能刺激入侵者下一步的攻击!
@PORT_BANNER:可以发送信息给通过设置PORT_BANNER选项关闭portsentry监视的人,默认是没有信息被定义的.然而,可以去掉下面 的注释使用该信息(不要滥用信息):
PORT_BANNER="** UNAUTHORIZED ACCESS PROHIBITED ** YOUR CONNECTION ATTEMPT HAS BEEN LOGGED. GO AWAY."
在关闭上面描述的响应前,可以使用SCAN_TRIGGER选项来设置portsentry将接收的入侵主机的扫描号,默认设置如下:
SCAN_TRIGGER="0"
"0"意味着不接受任何入侵系统的扫描.
continue....