Vale a pena bloquear pacotes de entrada do ponto de vista de segurança?

Question

Se eu bloquear todos os pacotes de saída com o iptables, então, teoricamente, meu sistema estará seguro, já que os pacotes de entrada não serão capazes de acionar o roubo de dados. No entanto, os pacotes que chegam ainda podem explorar algum bug em algum lugar e causar dano ou ignorar a política de saída do iptables.

Minha pergunta é qual é a maneira mais razoável, conveniente e segura de gerenciar pacotes de entrada? Se você bloquear todo o tráfego de entrada e permitir somente servidores confiáveis / necessários, você deve trabalhar com base na lista negra? Outro palpite seria que toda vez que você enviar um pacote SYN para um servidor, este servidor é automaticamente adicionado à lista branca, então quando você tenta se conectar em um site, ele automaticamente lhe permite responder. Existe uma maneira de fazer isso convenientemente?

    

Answer 1

Another guess would be that everytime you send a SYN packet to a server, this server is automatically added to the whitelist so when you try to connect on a website it automatically allow him to reply. Is there a way to do such a thing conveniently ?

É assim que a maioria dos firewalls com informações de estado já funcionam (por exemplo, roteadores domésticos porque são necessários para fazer NAT, mas também comuns em servidores).

Em iptables , isso é feito através do módulo conntrack ou sua versão simplificada state . Ambos os exemplos são equivalentes aos kernels modernos (embora eu acho que -m state foi necessário em 2.6.x dias).

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Embora, IMHO, você também deve aceitar incondicionalmente pelo menos -p icmp e -p ipv6-icmp .

Em pf , manter o estado é o padrão para as regras pass (a menos que no state foi especificado).