Задача5

1. Составить правилa для закрытого firewall так,чтобы исходящий из закрытой сети пакет с флагом SYN устанавливал бы динамическое правило, временно открывающее канал на время сессии с удаленным хостом.

2. Поясните смысл данного участка правил:

ipfw add check-state

ipfw add allow udp from my-subnet to any

ipfw add deny udp from any to any

3. Составьте правило для пропускания пакетов, идущих в сеть EVILNET с вероятностью в 5%.

4. Составьте правило искусственного ограничения канала на 10Kb/s пакетов, идущих в сеть HELIOS.

5. Разрешить прохождение на хост HELIOS TCP пакетов, предназначенных пользователю print.

3.Обнаружение следов атак Задача1

1. Перечислите как можно больше объектов ОС windowsNT, из которых могут автоматически запускаться программы.

2. Составьте запрос поиска всех системных файлов, изменявшихся за последнюю неделю.

3. Прокомментируйте часть файла журнала sendmail:

Mar 23 08:43:58 fi sendmail[7569]: h2N3hpsc007569: ruleset=check_rcpt, arg1=<china9988@21cn.com>, relay=[211.194.117.174], reject=550 5.7.1 <china9988@21cn.com>... Relaying denied. IP name lookup failed [211.194.117.174]

4. Прокомментируйте часть файла журнала httpd:

66.26.27.172 - - [17/Feb/2003:23:17:44 +0500] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 400 320

5. Прокомментируйте данное сообщение от ядра:

Jan 14 13:10:37 fi /kernel: arp: 192.168.3.100 is on ed0 but got reply from 00:60:08:81:0d:c4 on ed1

Задача2

1. Составить запрос поиска всех служебных файлов, конфигурация которых мененялась за последние 24часа.

2. Прокомментируйте часть файла журнала sendmail:

Mar 25 02:41:29 fi sendmail[11585]: h2OLfTsb011585: ruleset=check_mail, arg1=<root@server214.usvpu.ru>, relay=srvSIS.usvpu.ru [194.226.238.67], reject=501 5.1.8 Domain of sender address root@server214.usvpu.ru does not exist

3. Составить запрос <cmp> для обнаружения изменения версий системных файлов по отношению с эталонными.

4. Прокомментируйте часть файла журнала httpd:

194.226.55.18 - - [27/Jan/2003:19:30:15 +0500] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 317

5. Прокомментируйте часть файла журнала bind:

Mar 19 17:17:06 fi named[116]: Response from unexpected source ([152.163.159.225].53) for query "twdns-02.ns.aol.com IN A6"

Mar 19 17:17:10 fi named[116]: Response from unexpected source ([205.188.157.225].52) for query "twdns-04.ns.aol.com IN AAAA"

Задача3

1. Прокомментируйте часть файла журнала sendmail:

Oct 2 20:28:37 homer sendmail [5453]:NOQUE: foo@moo.com[205.22.55.22]: expn root [rejected].

2. Прокомментируйте данное сообщение от ядра:

Mar 11 13:21:30 fi /kernel: Limiting icmp unreach response from 284 to 200 packets per second.

3. Прокомментируйте часть файла журнала pop3:

Mar 19 09:37:54 fi popper[76455]: antony@srvSIS.usvpu.ru: -ERR Password supplied for "antony" is incorrect.

4. Прокомментируйте кусок лога ssh2:

Apr 12 16:09:11 ps sshd[16914]: auth_set_user: illegal user gru

Apr 12 16:09:11 ps sshd[16914]: Failed password for gru from 192.168.3.2 port 2413 ssh2.

5. Расскажите о технологии обнаружения «троянских коней» в ОС windows.