Honeypot iptables: различия между версиями
Перейти к навигации
Перейти к поиску
Cless (обсуждение | вклад) (Создана пустая страница) |
Cless (обсуждение | вклад) м (Cless переименовал страницу Honeypot iptables на любом порте в Honeypot iptables без оставления перенаправления) |
||
| (не показаны 2 промежуточные версии этого же участника) | |||
| Строка 1: | Строка 1: | ||
[[Категория:Honeypot]] | |||
[[Категория:Iptables]] | |||
== Перенаправляем логи определенного правила в отдельный log файл == | |||
<code>systemctl disable firewalld</code> | |||
<code>systemctl stop firewalld</code> | |||
<code>yum install -y iptables-services</code> | |||
<code>systemctl enable --now iptables</code> | |||
== Ловим входящие соединения 5060/udp с лог-префиксом "Attack SIP: " == | |||
<code>iptables -A INPUT -p udp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "</code> | |||
<code>iptables -A INPUT -p tcp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "</code> | |||
<code>service iptables save</code> | |||
<code>systemctl restart iptables</code> | |||
== Просмотр == | |||
<code>iptables -L -v -n -t filter</code> | |||
== Конфигурация rsyslog для перенаправления логов в файл == | |||
<code>nano /etc/rsyslog.d/iptables.conf</code> | |||
:msg, contains, "Attack_SIP: " -/var/log/iptables/iptables.log | |||
& ~ | |||
<code>mkdir /var/log/iptables/</code> | |||
<code>chmod 666 /var/log/iptables/</code> | |||
<code>nano /etc/rsyslog.conf</code> | |||
... | |||
$umask 0000 | |||
$FileCreateMode 0644 | |||
<code>systemctl restart rsyslog</code> | |||
== Проверяем == | |||
На любой другой машине | |||
<code>nmap -sU <адрес_машины_с_iptables> -p5060</code> | |||
После этого на машине с iptables | |||
<code>cat /var/log/iptables/iptables.log</code> | |||
... | |||
Jul 20 17:22:18 centos7-honeypot01 kernel: Attack_SIP: IN=ens160 OUT= MAC=00:50:56:ba:6b:50:00:50:56:83:24:e2:08:00 SRC=192.168.17.250 DST=192.168.166.52 LEN=28 TOS=0x00 PREC=0x00 TTL=51 ID=9330 PROTO=UDP SPT=47791 DPT=5060 LEN=8 | |||
... | |||
Текущая версия на 16:59, 8 января 2022
Перенаправляем логи определенного правила в отдельный log файл
systemctl disable firewalld
systemctl stop firewalld
yum install -y iptables-services
systemctl enable --now iptables
Ловим входящие соединения 5060/udp с лог-префиксом "Attack SIP: "
iptables -A INPUT -p udp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "
iptables -A INPUT -p tcp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "
service iptables save
systemctl restart iptables
Просмотр
iptables -L -v -n -t filter
Конфигурация rsyslog для перенаправления логов в файл
nano /etc/rsyslog.d/iptables.conf
:msg, contains, "Attack_SIP: " -/var/log/iptables/iptables.log & ~
mkdir /var/log/iptables/
chmod 666 /var/log/iptables/
nano /etc/rsyslog.conf
... $umask 0000 $FileCreateMode 0644
systemctl restart rsyslog
Проверяем
На любой другой машине
nmap -sU <адрес_машины_с_iptables> -p5060
После этого на машине с iptables
cat /var/log/iptables/iptables.log
... Jul 20 17:22:18 centos7-honeypot01 kernel: Attack_SIP: IN=ens160 OUT= MAC=00:50:56:ba:6b:50:00:50:56:83:24:e2:08:00 SRC=192.168.17.250 DST=192.168.166.52 LEN=28 TOS=0x00 PREC=0x00 TTL=51 ID=9330 PROTO=UDP SPT=47791 DPT=5060 LEN=8 ...