Nep Moderator Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору ~~~ Обсуждаем и сравниваем файрволы ~~~ Тесты на пробиваемость файрвола снаружи PCFlank | Sygate | Symantec | HackerWatch.org | Infotecs.ru | DSL reports | ShieldsUP!   Тесты на пробиваемость файрвола изнутри Firewal Leak Tester: сводная таблица результатов, сами тесты: LeakTest | TooLeaky | FireHole | Yalta | Outbound | PCAudit | AWFT | Thermite | CopyCat | MBtest | WallBreaker | PCaudit v2 | Ghost | DNStester     Обсуждения конкретных файрволов   Файрвол, официальный сайт     Тема в программах     Тема в варезнике       InJoy     -     линк       Jetico     линк     -       Kaspersky Anti-Hacker     линк     линк       Kerio     линк     линк       Look 'n' Stop     линк     линк       McAfee Desktop     линк     линк       McAfee Personal Plus     линк     -       Outpost     линк     линк       Sygate     линк     линк       Tiny     линк     линк       VisNetic     линк     линк       ZoneAlarm     линк     линк       pcInternet Patrol - онлайновый сервис     линк     линк       Blink® Intrusion Prevention System     линк     линк         Другие полезные ссылки Кто лучше? (ТОЛЬКО голосование) Настройка персональных файерволов (firewall rules) Всего записей: 41940 | Зарегистр. 24-06-2001 | Отправлено: 06:35 02-07-2001 | Исправлено: estimated, 14:24 05-01-2005

Panamaaa Advanced Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору andreipoli Юзай поиск, вроде где-то было голосование.   Добавлено нашел! http://forum.ru-board.com/topic.cgi?forum=5&topic=4691&start=240   Добавлено В шапку добавил ---------- В интернете можно найти всё, а иногда и то, что нужно... Всего записей: 1395 | Зарегистр. 11-06-2003 | Отправлено: 10:05 30-08-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Вопрос: Какой из firewall-ов, кроме Jetico Personal Firewall, умеет защищать от подставы при Idle сканировании? Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 10:14 02-09-2004

Karlsberg Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору crypt77 Цитата: Idle сканировании Можно немножко ликбеза по поводу этой фичи? Возможно, у других производителей она просто называется по-другому.   Добавлено Нашел линк в теме про Jetico: _http://cherepovets-city.ru/insecure/runmap/runmap-idlescan.htm А какое здесь отличие от любого другого скана с "левого" компьютера?   Добавлено Ясно, вся хитрость в том чтобы файервол не разрешал посылать RST на SYN+ACK с закрытого порта... Почти уверен, что все нормальные файеры не разрешают. Это про файер на зомби. А если сканируют открытый файером порт то ни один файер не поможет Кстати, с номерами пакетов тоже неувязка, имхо. Если на зомби бежит даже маленький трафик, номера не совпадут, так как убегут далеко вперед. И что-то я такое читал, что эти номера не последовательны, начиная вроде с Вин 2к (боюсь ошибиться) Всего записей: 1008 | Зарегистр. 13-12-2001 | Отправлено: 11:24 02-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Karlsberg Цитата: Ясно, вся хитрость в том чтобы файервол не разрешал посылать RST на SYN+ACK с закрытого порта...   совсем не в этом. Цитата: А если сканируют открытый файером порт то ни один файер не поможет   насколько ты понимаешь при Idle сканировании злоумышленник не посылает не одного пакета жертве от своего имени, а посылает их от имени зомби, и настройки тут ни причём. это сканирование можно использовать для двух целей. 1. сканирование портов через подставное лицо (зомби можно выбрать из trusted зоны для жертвы) 2. для определения настроек файера между зомби и жертвой. Цитата: Кстати, с номерами пакетов тоже неувязка, имхо. Если на зомби бежит даже маленький трафик, номера не совпадут, так как убегут далеко вперед. здесь всё нормально. естественно есть некоторые ограничения на трафик зомби. величина этого трафика напрямую зависит от ширины канала. чем шире канал, тем больше допустимый трафик. попытки делаются несколько раз за максимально короткое время, после этого смотрят на совпадение результатов. на практике всё прекрасно работает, лично проверял. Цитата: И что-то я такое читал, что эти номера не последовательны, начиная вроде с Вин 2к   тут позволь с тобой не согласиться. даже если номера не последовательны, то обычно известен алгоритм. соответственно можно предсказать какой номер будет следующим и какой будет через n пакетов. пример: 1. win2k [root@crypt hping2]# ./hping2 xxx HPING xxx (eth0 192.168.1.3): NO FLAGS are set, 40 headers + 0 data bytes len=46 ip=192.168.1.3 ttl=128 id=47472 sport=0 flags=RA seq=0 win=0 rtt=0.3 ms len=46 ip=192.168.1.3 ttl=128 id=47474 sport=0 flags=RA seq=1 win=0 rtt=0.4 ms len=46 ip=192.168.1.3 ttl=128 id=47476 sport=0 flags=RA seq=2 win=0 rtt=0.3 ms len=46 ip=192.168.1.3 ttl=128 id=47478 sport=0 flags=RA seq=3 win=0 rtt=0.3 ms len=46 ip=192.168.1.3 ttl=128 id=47480 sport=0 flags=RA seq=4 win=0 rtt=0.3 ms len=46 ip=192.168.1.3 ttl=128 id=47482 sport=0 flags=RA seq=5 win=0 rtt=0.3 ms len=46 ip=192.168.1.3 ttl=128 id=47484 sport=0 flags=RA seq=6 win=0 rtt=0.3 ms 2. win2k + JPF (Allow All) [root@crypt hping2]# ./hping2 yyy HPING yyy (eth0 192.168.1.4): NO FLAGS are set, 40 headers + 0 data bytes len=46 ip=192.168.1.4 ttl=128 id=19698 sport=0 flags=RA seq=0 win=0 rtt=0.3 ms len=46 ip=192.168.1.4 ttl=128 id=58895 sport=0 flags=RA seq=1 win=0 rtt=0.3 ms len=46 ip=192.168.1.4 ttl=128 id=3718 sport=0 flags=RA seq=2 win=0 rtt=0.3 ms len=46 ip=192.168.1.4 ttl=128 id=38991 sport=0 flags=RA seq=3 win=0 rtt=0.3 ms len=46 ip=192.168.1.4 ttl=128 id=14601 sport=0 flags=RA seq=4 win=0 rtt=0.5 ms len=46 ip=192.168.1.4 ttl=128 id=59343 sport=0 flags=RA seq=5 win=0 rtt=0.3 ms len=46 ip=192.168.1.4 ttl=128 id=55111 sport=0 flags=RA seq=6 win=0 rtt=0.3 ms   как видишь JPF модифицирует пакеты на предмет ID.   Кстати с помощью этого типа сканирования можно легко просканировать снаружи машины корорые имеют приватные адреса и находятся за гейтом. Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 13:12 02-09-2004 | Исправлено: crypt77, 13:17 02-09-2004

Karlsberg Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору crypt77 Цитата: совсем не в этом Так, давай притормозим пока... Я хочу понять два момента. 1 - О чем мы говорим - о зомби или о жертве? 2 - Что должен делать файервол чтобы не давать использовать себя как зомби? Всего записей: 1008 | Зарегистр. 13-12-2001 | Отправлено: 13:41 02-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Karlsberg Цитата: Так, давай притормозим пока... Я хочу понять два момента.   ok Цитата: 1 - О чем мы говорим - о зомби или о жертве? о зомби Цитата: 2 - Что должен делать файервол чтобы не давать использовать себя как зомби? последовательность IPID должна быть непредсказуемой.   т.е. по любой имеющейся последовательности нельзя вычислить следующий элемент. Хотя думаю это задача не файервола, а системы, но файер в силах прикрыть эту дырку в системе.   Добавлено Цитата: Попробуйте использовать ОС с менее предсказуемой IPID, например, OpenBSD, Solaris или Linux. Так вы обезопасите себя от использования в качестве "зомби".   из _http://cherepovets-city.ru/insecure/runmap/runmap-idlescan.htm Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 14:12 02-09-2004

Karlsberg Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору crypt77 Ок, файер на зомби. Насколько я помню, номера пакетов тасует большинство файеров, по крайней мере я это встречал у Сигейта (точно помню) и некоторых других. Но даже если номера пакетов не меняются файерволом, то использовать комп с файером в качестве зомби имхо не получится потому что он не ответит RST-ом на SYN+ACK, то есть сканер просто не получит ответ. Всего записей: 1008 | Зарегистр. 13-12-2001 | Отправлено: 15:01 02-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Karlsberg Цитата: Насколько я помню, номера пакетов тасует большинство файеров не уверен Цитата: Но даже если номера пакетов не меняются файерволом, то использовать комп с файером в качестве зомби имхо не получится потому что он не ответит RST-ом на SYN+ACK, то есть сканер просто не получит ответ. а и ненадо, чтобы он отвечал RST-ом. Необходимо получить любой ответ, например подсоединившись к легальному сервису (SMTP,HTTP,FTP,...) Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 15:11 02-09-2004

Karlsberg Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору crypt77 Сейчас все бросятся проверять свои файерволы Цитата: а и ненадо, чтобы он отвечал RST-ом. Необходимо получить любой ответ, например подсоединившись к легальному сервису (SMTP,HTTP,FTP,...) Согласен, если на зомби открыт хоть один порт Всего записей: 1008 | Зарегистр. 13-12-2001 | Отправлено: 15:24 02-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Karlsberg Цитата: Сейчас все бросятся проверять свои файерволы   было бы очень интерестно взглянуть на результаты.   Цитата: Согласен, если на зомби открыт хоть один порт угу. причём это даже может быть и не UDP или TCP, а любой другой протокол (ICMP, VPN,...), лишь бы зомби откликнулся Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 15:33 02-09-2004

Spectr Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Увидел  в обсуждении   аббревиатуру RST поэтому и и возник вопрос: кто-нибудь может обьяснить что такое RST attack вот логи от моего файервола ( Outpost v2.1,  в логе заменил только два числа на k,n):   30.08.2004 21:59:11 Port scanned 194.67.k.n TCP (2427, 2425, 2419, 2431, 2430, 2429) 30.08.2004 21:59:11 Rst attack 194.67.k.n -> 194.67.k.n   Поясню что 194.67.k.n - это конкретный IP  моего прокси на работе через который я выхожу в интернет из дома по локалке (домашний IP естественно другой)   Результат этой атаки - блокирование аутпостом собственного прокси (и соответсвенно всех внешних соединений) на 30мин (согласно установкам аупоста). Случилось уже дважды за неделю и впервые за полгода.   Раньше такого в логах не наблюдал.   Что же все таки это означает  "Rst attack 194.67.k.n -> 194.67.k.n"  ????? Всего записей: 630 | Зарегистр. 03-03-2002 | Отправлено: 21:28 02-09-2004

Karlsberg Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Spectr Цитата: A TCP Reset attack is a denial of service attack in which the perpetrator attempts to prematurely terminate a victim's active TCP session.  This does not present a serious risk for many connections, but could create significant damage and/or disruption if used effectively. Целый труд на эту тему: _http://www.osvdb.org/reference/SlippingInTheWindow_v1.0.doc (eng) Всего записей: 1008 | Зарегистр. 13-12-2001 | Отправлено: 22:12 02-09-2004

Yanson Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Spectr, у меня аналогично на домашнем компе один раз было (стоит Usergate), локалхост был блокирован.     ---------- Красивая музыка Всего записей: 7991 | Зарегистр. 10-02-2003 | Отправлено: 22:49 02-09-2004

Spectr Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Karlsberg Цитата: Целый труд на эту тему: _http://www.osvdb.org/reference/SlippingInTheWindow_v1.0.doc     Спасибо большое за ссылку -  будет что читать на выходные   Позволю себе еще один чисто практический вопрос - кто атаковал?? Можно ли 100% утверждать по этим логам что атака шла именно с этого IP?? Мог ли этот номер использоваться как зомби ( если я правильно понял предыдущие посты)? Ведь этот IP является  Nat+Proxy, за которым сидит целый академический институт (уже с 192.168.*.*) И мне важно знать сосед ли по институту меня ломал или кто-то со стороны? Всего записей: 630 | Зарегистр. 03-03-2002 | Отправлено: 00:21 03-09-2004

cornborer Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору ...насколько меньше тормозит встроенный файрволл в ХРSP2. На рисунке показана фильтрация входящих и исходящих пакетов при включенном Outpost 2.1, а затем переключении на встроенный файрволл:   . Измеряющая программка Du Meter... Всего записей: 5128 | Зарегистр. 09-12-2001 | Отправлено: 07:38 03-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Spectr Цитата: кто-нибудь может обьяснить что такое RST attack   это когда кто-то левый пытается разорвать твои TCP соединения. Для успешной реализации этой атаки необходимо видеть трафик жертвы. т.е. или быть с жертвой в одной локалке или быть гдето на дороге, где идёт трафик жертвы. Цитата: Позволю себе еще один чисто практический вопрос - кто атаковал??   Можно ли 100% утверждать по этим логам что атака шла именно с этого IP??   Можно 100% утверждать, что это не этот адрес т.к. в этой атаке используется технология подстановки(spoofing) обратного адреса. Злоумышленника можно найти по обратному MAC адресу (если он из локальной сети).   А вообще касательно конкретной ситуации на 90% уверен, что это не атака, а ложное срабатывание при неправильной обработке глюков M$. Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 09:34 03-09-2004 | Исправлено: crypt77, 09:35 03-09-2004

STNG Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору cornborer   Что следует из этого графика? Кто из этих файрволлов тормозит больше ? Всего записей: 625 | Зарегистр. 14-05-2004 | Отправлено: 09:53 03-09-2004

crypt77 Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Spectr а у тебя какая система стоит на машине где крутится proxy? Всего записей: 158 | Зарегистр. 10-08-2004 | Отправлено: 09:54 03-09-2004

Mushroomer Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору STNG Судя из графика скорость DL (download) больше при встроенном файрволле, т.е. он тормозит меньше. Но это ни о чем не говорит, вдруг при этом связь улучшилась. Тогда все так и будет, а тормозят они одинаково. Всего записей: 22840 | Зарегистр. 19-01-2002 | Отправлено: 10:17 03-09-2004 | Исправлено: Mushroomer, 10:18 03-09-2004

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99

Компьютерный форум Ru.Board » Компьютеры » Программы » Лучший файрволл firewall

Widok (13-03-2005 20:39): лимит страниц. продолжаем здесь

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование