2

iptablesの設定はほぼこちらを参照したものです。

俺史上最強のiptablesをさらす - Qiita

以下、SYN_FLOOD抜粋

iptables -N SYN_FLOOD # "SYN_FLOOD" という名前でチェーンを作る
iptables -A SYN_FLOOD -p tcp --syn \
         -m hashlimit \
         --hashlimit 200/s \
         --hashlimit-burst 3 \
         --hashlimit-htable-expire 300000 \
         --hashlimit-mode srcip \
         --hashlimit-name t_SYN_FLOOD \
         -j RETURN

iptables -A SYN_FLOOD -j LOG --log-prefix "syn_flood_attack: "
iptables -A SYN_FLOOD -j DROP

iptables -A INPUT -p tcp --syn -j SYN_FLOOD

それなりに外部からアクセスがあるWEBサイトでこのような設定を実施した場合、主に携帯会社のIPが引っかかってしまします。
そこでhashlimit-burstを10にしてみましたが、それでもいくらか引っかかりました。

引っかかったアクセスログを確認したところ、正常のURLへのアクセスをしているログが上がっているので、不正アクセスではないだろうと考えています。

ただ「携帯会社のIP」が目立つのは、携帯でのアクセスが多いだけの話かもしれません。

こういったケースで、SYN FLOODの閾値が問題ないのかどうかどのように判断したらよいでしょうか?
携帯の接続不安定のために発生して問題ない範囲と考えられるのでしょうか?

4
  • 気休めにしかならないかもしれませんが、--hashlimit-mode srcip,srcport としてみてはいかがでしょうか。
    – user4986
    Commented 2015年3月9日 13:03
  • ありがとうございます。当環境の場合、portはほぼ80番だけなのであまり変わらない気がしています。
    – osamu1203
    Commented 2015年3月9日 14:01
  • そうですね、、80番ポートというのはサーバ側だと思うので、dstport に当たると思います。srcport はアクセス元のポート番号なので、携帯キャリアのプロキシサーバを経由しているとすれば、ある程度効果があるのではないかと。
    – user4986
    Commented 2015年3月9日 14:06
  • なるほど!試してみます。ありがとうございます!!
    – osamu1203
    Commented 2015年3月9日 14:14

2 件の回答 2

2

携帯電話会社が引っかかるのは「携帯の接続不安定のため」ではなくNATやproxyにより多数の端末が少数のIPアドレスで接続してくるためでしょう。

攻撃対策はサービス提供と防御のトレードオフなので、閾値に問題が無いかは誰にも答えられません。CGNを使っているモバイルネットワークキャリアやproxy配下のクライアント台数の多い大企業からの接続も配慮しなければならないのであれば防御はある程度あきらめなければならないでしょう。逆にその手の利用者は無視してもかまわない、または防御が優先されるのであれば、厳しめの閾値にすればよいでしょう。

また、ネットワーク環境は日々変化していますので一度決めた閾値が未来永劫有効なわけではありません。状況に合わせて閾値を定期的に見直す運用は必要でしょう。見直すための判断基準、新しい閾値をどう設定するかもむろん環境次第です。

ただし、質問にあるような単純な「SYN flood対策」は実際の攻撃にはほとんど無意味なので、本気で攻撃対策が必要なのであれば専門知識のある業者に運用も含めて相談されることをお勧めします。

0

多分こっちの方がいいと思います。

iptables -A SYN_FLOOD -p tcp --syn \
         -m hashlimit \
         --hashlimit 200/s \
         --hashlimit-burst 200 \ <-200
         --hashlimit-htable-expire 300000 \
         --hashlimit-mode srcip \
         --hashlimit-name t_SYN_FLOOD \
         -j RETURN

Traffic Shapingも平行してやればいいですよ。

iptables -N SMTP_SHAPE
iptables -A SMTP_SHAPE -p tcp \
         -m hashlimit \
         --hashlimit 25/s \
         --hashlimit-burst 25 \
         --hashlimit-htable-expire 3600000 \
         --hashlimit-mode srcip \
         --hashlimit-name t_SMTP_SHAPE \
         -j ACCEPT
iptables -A SMTP_SHAPE -j LOG --log-prefix "SMTP_SHAPE:"
iptables -A SMTP_SHAPE -p tcp -j REJECT

iptables -N SMTP_FLOOD
iptables -A SMTP_FLOOD -p tcp \
         -m hashlimit \
         --hashlimit 20/s \
         --hashlimit-burst 20 \
         --hashlimit-htable-expire 3600000 \
         --hashlimit-mode srcip \
         --hashlimit-name t_SMTP_FLOOD \
         -j ACCEPT
iptables -A SMTP_FLOOD -j LOG --log-prefix "SMTP_FLOOD:"
iptables -A SMTP_FLOOD -p tcp -j REJECT --reject-with tcp-reset

iptables -A  INPUT -p tcp   --syn -m set --match-set JPN src -m multiport --dports 25 -j SYN_FLOOD
iptables -A  INPUT -p tcp   --syn -m set --match-set JPN src -m multiport --sports 25 -j SYN_FLOOD
iptables -A  INPUT -p tcp ! --syn -m set --match-set JPN src -m multiport --dports 25 -j SMTP_SHAPE
iptables -A  INPUT -p tcp ! --syn -m set --match-set JPN src -m multiport --sports 25 -j SMTP_SHAPE
iptables -A OUTPUT -p tcp         -m set --match-set JPN dst -m multiport --sport 25 -j ACCEPT
iptables -A  INPUT -p tcp   --syn -m multiport --dports 25 -j SYN_FLOOD
iptables -A  INPUT -p tcp   --syn -m multiport --sports 25 -j SYN_FLOOD
iptables -A  INPUT -p tcp ! --syn -m multiport --dports 25 -j SMTP_FLOOD
iptables -A  INPUT -p tcp ! --syn -m multiport --sports 25 -j SMTP_FLOOD
iptables -A OUTPUT -p tcp -m multiport --dport 25 -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --sport 25 -j ACCEPT

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。