Как защититься от атак?

Negativ · Отправлено: **14:47, 17-04-2003** | #2

Есть вариант! Может помочь, но тут есть минус. Закрой входящий траффик на ICMP протокол (типы Echo Reply и Echo Request). В этом случае твой ip не будет принимать и отвечать на эхо-запросы (ping). Хотя ты будешь работать нормально.

FWC · Отправлено: **15:10, 17-04-2003** | #3

Это закрыто, мой сервер отвечает только на запросы по 25-му, 21-му и 80-му портам, для всех остальных его нет в сети, даже не отправляет отказ в доступе, просто нет и всё.
Просто провайдер как-то странно учитывает трафик... в общем я сижу под субпровайдером, так вот любой пакет вошедший от провайдера в сеть субпровайдера, т.е. дошедший до их маршрутизатора считается предназначающимся для кого-то в его сети, соответственно провайдер за него выставляет счет субпровайдеру, а ему что остается - мне предъявить его :-((

Negativ · Отправлено: **15:32, 17-04-2003** | #4

Так че он на тебя валит, если у него самого дыры вселенские в файрволе. Сам виноват. Пусть на маршрутизаторе запретит. Поставит флаг запрещающий фрагментацию пакетов. Тут вообще самому субпровайдеру стоит поразмыслить.

Megabizon · Отправлено: **16:19, 17-04-2003** | #5

Цитата:

можно ли как-то гасить сервер в случае обнаружения подобного вторжения. Система W2k server + MS ISA Server.

В Исе есть Monitoring Configuration, там находешь узел Alerts, в нем дофига всяких событий, есть и ДНС атака, и POP атака и т.д.
Выбыраешь нужное событие, дважды кликаешь, откроется свойства, там вкладка Actions, можешь на ней поставить галку Stop service и выбираешь какие сервисы ИСы заглушить.
ЗЫ. Я, напирмер, так как у нас нет дежурного админа, прокси на ноч вырубаю от греха подальше.

FWC · Отправлено: **09:28, 18-04-2003** | #6

Так там можно гасить только сервисы ISA... у мня алерты тоже настроены, всё сообщает мне на мыл и сотовый, если вдруг что-то нештатное происходит... Гасить проксю бессмысленно, она тут никаким боком, а вот во время атаки вырубить файрвол... я бы не стал рисковать. Хотелось бы полностью сам сервак гасить, тем более, что у него на всякий пожарный в биосе автостарт на 8:30 утра стоит, на случай если свет выключат, а УПСы небезразмерные ведь. я здесь на форуме встречал как-то темку про программное выключение компа, но это было давно, найти не смог :-(( Наверное можно было бы привязать к событию запуск батничка... Может кто помнит в какой теме это обсуждалось?

Megabizon · Отправлено: **16:42, 18-04-2003** | #7

Цитата:

Гасить проксю бессмысленно,

Я имел ввиду сам сервер.

Цитата:

Хотелось бы полностью сам сервак гасить,

Млин, ну так там же в алертах в Акшине есть возможность запускать программы! Поставь себе прогу Power_Off и пусть ее ИСА запускает, она тебе сервак погасит. Програмулька сама маленькая - консольная версия 15К весит, а GUI не многим более 200К. Инсталяции не надо, в реестр ничего не пишет, указал ИСе запуск на консольную версию и все, никакие батники не нужны. Достаточно корректно она выключает.

[s]Исправлено: Megabizon, 16:43 18-04-2003[/s]

FWC · Отправлено: **08:06, 19-04-2003** | #8

Вот это я и имел в виду :о)) спасибо, поищу сей программ :о))

Добавлено:

Кста, народ, если кому интересно, я для ISA анализатор логов нашел неплохой :о)) 600 кб весит всего, к тому же бесплатный (бесплатная регистрация на сайте разработчика . Есть так же для WinGate, WinRoute, MS Proxy 2, WinProxy, Squid, Proxy Plus, MDaemon, Kerio MailServer
Только вот для WinGate 5.0 у меня не пошел, говорит не найдены логи, хотя для ISA и Mdaemon-a - за милу душу :о))

Megabizon · Отправлено: **11:58, 19-04-2003** | #9

FWC
Я ее тебе мылом отослал!