Portscan-Erkennung; Konfiguration Des Ids - Hirschmann BAT54-Rail FCC Anwenderhandbuch

Firewall
IP-Spoofing
U
Beim IP-Spoofing gibt sich der Absender eines Pakets als ein anderer Rech-
ner aus. Dies geschieht entweder, um Firewalls überlisten, die Paketen aus
dem eigenen Netz mehr Vertrauen schenken als Paketen aus fremden Net-
zen, oder um den Urheber eines Angriffs (z.B. Smurf) zu verschleiern.
Die BAT Firewall schützt sich davor durch Routenprüfung, d.h. sie überprüft,
ob das Paket überhaupt über das Interface empfangen werden durfte, von
dem es empfangen wurde.

Portscan-Erkennung

U
Das Intrusion-Detection System versucht Portscans zu erkennen, zu melden
und geeignet auf den Angriff zu reagieren. Dies geschieht ähnlich der Erken-
nung eines 'SYN Flooding'-Angriffs (siehe 'SYN Flooding' → Seite 322): Es
werden auch hier die "halboffenen" Verbindungen gezählt, wobei ein TCP-
Reset, das vom gescannten Rechner gesendet wird, die "halboffene" Verbin-
dung weiterhin offen lässt.
Wenn eine bestimmte Anzahl von halboffenen Verbindungen zwischen dem
gescannten und dem scannenden Rechner existiert, so wird dies als Ports-
can gemeldet.
Ebenso wird der Empfang von leeren UDP-Paketen als versuchter Portscan
interpretiert

8.4.2 Konfiguration des IDS

LANconfig
Die Parameter des Intrusion Detection Systems werden im LANconfig im
Konfigurationsbereich 'Firewall/QoS' auf der Registerkarte 'IDS' festgelegt:
320
8.4 Intrusion Detection
BAT54-Rail/F..
Release 7.54 06/08