O que significam as entradas do log de auditoria do UFW?

10

Às vezes, recebo muitas dessas entradas de log do AUDIT

...

[UFW AUDIT] IN= OUT=eth0 SRC=176.58.105.134 DST=194.238.48.2 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=32137 DF PROTO=UDP SPT=36231 DPT=123 LEN=56
[UFW ALLOW] IN= OUT=eth0 SRC=176.58.105.134 DST=194.238.48.2 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=32137 DF PROTO=UDP SPT=36231 DPT=123 LEN=56
[UFW AUDIT] IN= OUT=lo SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=54579 DF PROTO=TCP SPT=59488 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0
[UFW AUDIT] IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=54579 DF PROTO=TCP SPT=59488 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0
[UFW AUDIT] IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=4319 DF PROTO=TCP SPT=59489 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0

...

Qual é o significado disso? Quando eles ocorrem e por quê? Devo e posso desativar essas entradas específicas? Eu não desejo desabilitar o log do UFW, mas não tenho certeza se essas linhas são úteis.

Observe que isso não ocorre realmente em /var/log/ufw.log . Só ocorre em /var/log/syslog . Por que isso acontece?

Mais informações

  • meu registro está definido como médio: Logging: on (medium)
por Tom 28.05.2012 / 19:24

3 respostas

3

Defina seu registro em log para low para remover as mensagens AUDIT .

O objetivo do AUDIT (pelo que estou vendo) está relacionado ao registro não padrão / recomendado - no entanto, isso é um palpite, e não consigo encontrar nada concreto com isso.

    
por jrg 28.05.2012 / 19:43
7

Isso depende da linha. Normalmente, é campo = valor.

Existe IN, OUT, a interface de entrada, ou de saída (ou ambos, para pacotes que são apenas retransmitidos.

Alguns deles são:

  • TOS , para o tipo de serviço,
  • DST é o destino ip,
  • SRC é o ip de origem
  • TTL é hora de viver, um pequeno contador decrementado cada vez que um pacote é passado através de outro roteador (portanto, se houver um loop, o pacote se destrói uma vez para 0)
  • DF é "não fragmentar", pedindo ao pacote para não ser fragmentado quando enviado
  • PROTO é o protocolo (principalmente TCP e UDP)
  • SPT é a porta de origem
  • DPT é a porta de destino

etc.

Você deve dar uma olhada na documentação do TCP / UDP / IP, onde tudo é explicado de maneira mais detalhada que eu poderia fazer.

Vamos pegar o primeiro, o que significa que 176.58.105.134 enviou um pacote UDP na porta 123 para 194.238.48.2. Isso é para ntp . Então eu acho que alguém tenta usar seu computador como um servidor ntp, provavelmente por erro.

Para a outra linha, é curioso, é o tráfego na interface de loopback (lo), ou seja, que não vai a lugar algum, vai e vem do seu computador.

Eu verificaria se algo está escutando na porta tcp 30002 com lsof ou netstat .

    
por Misc 28.05.2012 / 19:45
0

Além do que foi dito, também é possível inferir o que será registrado, inspecionando as regras do iptables . Especificamente, as regras de correspondência que estão sendo registradas podem ser filtradas assim sudo iptables -L | grep -i "log" :

ufw-before-logging-input  all  --  anywhere             anywhere
ufw-after-logging-input  all  --  anywhere             anywhere
ufw-before-logging-forward  all  --  anywhere             anywhere
ufw-after-logging-forward  all  --  anywhere             anywhere
ufw-before-logging-output  all  --  anywhere             anywhere
ufw-after-logging-output  all  --  anywhere             anywhere
Chain ufw-after-logging-forward (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW BLOCK] "
Chain ufw-after-logging-input (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
Chain ufw-after-logging-output (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
ufw-logging-deny  all  --  anywhere             anywhere             ctstate INVALID
Chain ufw-before-logging-forward (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-before-logging-input (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-before-logging-output (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-logging-allow (0 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
Chain ufw-logging-deny (2 references)
LOG        all  --  anywhere             anywhere             ctstate INVALID limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT INVALID] "
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW BLOCK] "
ufw-logging-deny  all  --  anywhere             anywhere             limit: avg 3/min burst 10
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 5 LOG level warning prefix "[UFW LIMIT BLOCK] "
Chain ufw-user-logging-forward (0 references)
Chain ufw-user-logging-input (0 references)
Chain ufw-user-logging-output (1 references)

Essas são, na maior parte, regras padrão. Inspecionar a saída acima revela as correntes ufw-before-* para gerar registros [AUDITORIA UFW].

Eu não sou um grande especialista em iptables e o manual do UFW não é muito útil, mas até onde eu posso dizer que as regras correspondentes a essa cadeia estão em / etc / ufw / before.rules .

Por exemplo, as linhas abaixo estão permitindo conexões de loopback que podem ter acionado as duas últimas linhas de exemplo em seu log (aquelas começando com [UFW AUDIT] IN = lo)

# rules.before
# ....
# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT
# ....

Quanto a minha parte, recebo muitos pacotes LLMNR registrados na porta 5353:

Mar 17 21:02:21 pc kernel: [133419.183616] [UFW AUDIT] IN=wlp2s0 OUT= MAC= SRC=192.168.1.2 DST=224.0.0.251 LEN=146 TOS=0x00 PREC=0x00 TTL=255 ID=22456 DF PROTO=UDP SPT=5353 DPT=5353 LEN=126 

Que eu acho que são causados pelo seguinte em rules.before :

# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

Uma maneira de desativá-los é fazer o seguinte:

sudo ufw deny 5353
    
por Sebastian Müller 18.03.2018 / 18:08