ntpd attack [2]
...lanjutan dari post sebelumnya tentang serangan ke service ntpd
Rule ipfw yang sempat dicoba untuk menghalangi serangan ke ntpd:
# ipfw add 99 deny log all from any to any dst-port 123 in recv em0
Setelah diamati beberapa saat memang rule tersebut memang berhasil mencegah serangan, tapi ternyata server juga gagal melakukan query ke server ntpd lain..
Solusi dari: http://www.team-cymru.org/ReadingRoom/Templates/secure-ntp-template.html
server# cat /etc/ntp.conf
# by default act only as a basic NTP client
restrict -4 default nomodify nopeer noquery notrap
restrict -6 default nomodify nopeer noquery notrap
# allow NTP messages from the loopback address, useful for debugging
restrict 127.0.0.1
restrict ::1
# server(s) we time sync to
server 3.id.pool.ntp.org
server 1.asia.pool.ntp.org
server 3.asia.pool.ntp.org
#restrict IP_ADDRESS mask 255.255.255.240 nomodify notrap
restrict IP_ADDRESS mask 255.255.255.240
Kemudian dicoba restart ntpd dan hasilnya:
Rule ipfw yang sempat dicoba untuk menghalangi serangan ke ntpd:
# ipfw add 99 deny log all from any to any dst-port 123 in recv em0
Setelah diamati beberapa saat memang rule tersebut memang berhasil mencegah serangan, tapi ternyata server juga gagal melakukan query ke server ntpd lain..
Solusi dari: http://www.team-cymru.org/ReadingRoom/Templates/secure-ntp-template.html
server# cat /etc/ntp.conf
# by default act only as a basic NTP client
restrict -4 default nomodify nopeer noquery notrap
restrict -6 default nomodify nopeer noquery notrap
# allow NTP messages from the loopback address, useful for debugging
restrict 127.0.0.1
restrict ::1
# server(s) we time sync to
server 3.id.pool.ntp.org
server 1.asia.pool.ntp.org
server 3.asia.pool.ntp.org
#restrict IP_ADDRESS mask 255.255.255.240 nomodify notrap
restrict IP_ADDRESS mask 255.255.255.240
Kemudian dicoba restart ntpd dan hasilnya:
- server bisa melakukan query ke server luar
- server bisa menerima query dari komputer di LAN
- paling penting serangan yg masuk bisa dicegah
Comments
Post a Comment