本文的目的是為了調(diào)整UNIX IP堆棧以更有效的防止現(xiàn)今多種類型的攻擊，詳細
描述了一些UNIX服務系統(tǒng)中網(wǎng)絡服務如HTTP或者routing的推薦設置，其中系統(tǒng)
包括了如下不同的UNIX：

A. IBM AIX 4.3.X
B. Sun Solaris 7
C. Compaq Tru64 UNIX 5.X
D. HP HP-UX 11.0 (research ongoing)
E. Linux kernel 2.2 (tested both SuSE Linux 7.0 和 RedHat 7.0)
F. FreeBSD
G. IRIX 6.5.10

下面敘述的一些調(diào)整參數(shù)和句法在重新啟動后將不會自動激活，所以如果你需要
在每次啟動的時候長期保持這些參數(shù)，你就需要增加這些實時命令到如下的啟動
文件中：

AIX - /etc/rc.net
Solaris - /etc/init.d/inetinit
Tru64 UNIX - 使用sysconfigdb 或者 dxkerneltuner 命令
HP-UX - /etc/rc.config.d/nddconf
Linux kernel 2.2 - /etc/sysctl.conf
FreeBSD - /etc/rc.conf
IRIX - 使用systune命令

====================================================================

以下是一些IP堆棧調(diào)整建議：

1，調(diào)節(jié)TCP發(fā)送和接受空間(TCP send and receive spaces)

TCP發(fā)送和接受的空間直接影響TCP 窗口大小參數(shù)(TCP window size parameter),
一定程度上的窗口大小增加有助于更有效的傳輸，尤其是一些需要大數(shù)量傳輸?shù)?
服務如FTP和HTTP，默認的一些設置不是每個系統(tǒng)都是最優(yōu)化的，一般我們需要
增加這個窗口大小為32768字節(jié)。除非你設置的時候很清楚的理解RFC1323(
http://www.ietf.org/rfc/rfc1323.txt?number=1323)和RFC2018(http://www.
ietf.org/rfc/rfc2018.txt?number=2018),否則你不要把這個值增加到高于64K字節(jié)。

A. AIX
/usr/sbin/no -o tcp_sendspace=32768
/usr/sbin/no -o tcp_recvspace=32768

B. Solaris
/usr/sbin/ndd -set /dev/tcp tcp_xmit_hiwat 32768
/usr/sbin/ndd -set /dev/tcp tcp_recv_hiwat 32768

C. Tru64 UNIX
沒有推薦的調(diào)整.

D. HP-UX
默認情況下TCP發(fā)送和接受空間已經(jīng)設置為32768.

E. Linux kernel 2.2
Linux自動分配TCP發(fā)送和接受空間并默認共同支持RFC1323 (large window support,
net.ipv4.tcp_window_scaling) 和 RFC2018 (SACK support, net.ipv4.tcp_sack).

F. FreeBSD
sysctl -w net.inet.tcp.sendspace=32768
sysctl -w net.inet.tcp.recvspace=32768

G. IRIX
默認情況下TCP發(fā)送和接受空間設置為64K字節(jié).

2，調(diào)整套接口序列防止SYN攻擊

各種網(wǎng)絡應用軟件一般必須開放一個或者幾個端口供外界使用，所以其必定可以
會被惡意攻擊者向這幾個口發(fā)起拒絕服務攻擊，其中一個很流行的攻擊就是SYN
FLOOD，在攻擊發(fā)生時，客戶端的來源IP地址是經(jīng)過偽造的(spoofed)，現(xiàn)行的IP
路由機制僅檢查目的IP地址并進行轉(zhuǎn)發(fā)，該IP包到達目的主機后返回路徑無法通
過路由達到的，于是目的主機無法通過TCP三次握手建立連接。在此期間因為TCP
套接口緩存隊列被迅速填滿，而拒絕新的連接請求。為了防止這些攻擊，部分UNIX
變種采用分離入站的套接口連接請求隊列，一隊列針對半打開套接口(SYN 接收,
SYN|ACK 發(fā)送), 另一隊列針對全打開套借口等待一個accept()調(diào)用，增加這兩隊
列可以很好的緩和這些SYN FLOOD攻擊并使對服務器的影響減到最小程度：

A. AIX
/usr/sbin/no -o clean_partial_conns=1
這個設置會指示內(nèi)核隨機的從q0隊列中去掉半打開套接口來為新的套接口增加
所需空間。

B. Solaris
/usr/sbin/ndd -set /dev/tcp tcp_conn_req_max_q 1024
使q 隊列擁有接口等待來自應用程序的accept()調(diào)用.
/usr/sbin/ndd -set /dev/tcp tcp_conn_req_max_q0 2048
使q0 隊列能維護半打開套接口.

C. Tru64 UNIX
/sbin/sysconfig -r socket sominconn=65535
這個sominconn的值決定了系統(tǒng)能同時處理多少個相同的進入的SYN信息包.
/sbin/sysconfig -r socket somaxconn=65535
這個somaxconn值設置了系統(tǒng)能保留多少個待處理TCP連接.

D. HP-UX
/usr/sbin/ndd -set tcp_syn_rcvd_max 1024
/usr/sbin/ndd -set tcp_conn_request_max 200

E. Linux kernel 2.2
/sbin/sysctl -w net.ipv4.tcp_max_syn_backlog=1280
有效的增加q0的套接口隊列大小.
/sbin/sysctl -w net.ipv4.tcp_syn_cookies=1
啟用TCP SYN cookies支持,能有效的減輕SYN FLOOD的攻擊，但是這個參數(shù)會對一些
大的窗口引起一些性能問題(參看RFC1323 and RFC2018.

F. FreeBSD
sysctl -w kern.ipc.somaxconn=1024

G. IRIX
listen()隊列被硬性設置為32.但是系統(tǒng)實際采用待處理連接數(shù)為((3 * backlog) / 2) + 1，
其中的backlog數(shù)值最大值為49.

3，調(diào)整Redirects參數(shù)

惡意用戶可以使用IP重定向來修改遠程主機中的路由表，在設計良好的網(wǎng)絡中，
末端的重定向設置是不需要的，發(fā)送和接受重定向信息包都要關閉。

A. AIX
/usr/sbin/no -o ipignoreredirects=1
/usr/sbin/no -o ipsendredirects=0

B. Solaris
/usr/sbin/ndd -set /dev/ip ip_ignore_redirect 1
/usr/sbin/ndd -set /dev/ip ip_send_redirects 0

C. Tru64 UNIX
沒有推薦的調(diào)整設置.

D. HP-UX
/usr/sbin/ndd -set /dev/ip ip_send_redirects 0

E. Linux kernel 2.2
/sbin/sysctl -w net.ipv4.conf.all.send_redirects=0
/sbin/sysctl -w net.ipv4.conf.all.accept_redirects=0

F. FreeBSD
sysctl -w net.inet.icmp.drop_redirect=1
sysctl -w net.inet.icmp.log_redirect=1
sysctl -w net.inet.ip.redirect=0
sysctl -w net.inet6.ip6.redirect=0

G. IRIX
/usr/sbin/systune icmp_dropredirects to 1

4,調(diào)整ARP清理設置

通過向IP路由緩沖填充偽造的ARP條目可以讓惡意用戶產(chǎn)生資源耗竭和性能減低
攻擊。在Solaris中，有2個參數(shù)可以管理間隔的清理IP路由緩沖，針對未請求的
ARP響應可以通過arp_cleanup_interval調(diào)整，AIX可以通過artp_killc來設置。



A. AIX
/usr/sbin/no -o arpt_killc=20
B. Solaris
/usr/sbin/ndd -set /dev/arp arp_cleanup_interval 60000
C. Tru64 UNIX
沒有參考的調(diào)整設置.
D. HP-UX
默認設置為5分鐘.
E. Linux kernel 2.2
沒有參考的調(diào)整設置.
F. FreeBSD
sysctl -w net.link.ether.inet.max_age=1200
G. IRIX
沒有參考的調(diào)整設置.

5,調(diào)整源路由的設置

通過源路由，攻擊者可以嘗試到達內(nèi)部IP地址 --包括RFC1918中的地址，所以
不接受源路由信息包可以防止你的內(nèi)部網(wǎng)絡被探測。

A. AIX
/usr/sbin/no -o ipsrcroutesend=0
關閉源路由信息包發(fā)送.

/usr/sbin/no -o ipsrcrouteforward=0
如果你這個系統(tǒng)要做路由工作如防火墻，這個參數(shù)就很重要，關閉這個特征就
可以很好的防止轉(zhuǎn)發(fā)源路由信息包.

B. Solaris
/usr/sbin/ndd -set /dev/ip ip_src_route_forward 0
如果你這個系統(tǒng)要做路由工作如防火墻，這個參數(shù)就很重要，關閉這個特征就
可以很好的防止轉(zhuǎn)發(fā)源路由信息包.

C. Tru64 UNIX
沒有推薦的調(diào)整.

D. HP-UX
ndd -set /dev/ip ip_forward_src_routed 0
關閉這個特征就可以很好的防止轉(zhuǎn)發(fā)源路由信息包.

E. Linux kernel 2.2
/sbin/sysctl -w net.ipv4.conf.all.accept_source_route=0
丟棄所有源地址信息包.
/sbin/sysctl -w net.ipv4.conf.all.forwarding=0
/sbin/sysctl -w net.ipv4.conf.all.mc_forwarding=0
不轉(zhuǎn)發(fā)源路由幀.

F. FreeBSD
sysctl -w net.inet.ip.sourceroute=0
sysctl -w net.inet.ip.accept_sourceroute=0

G. IRIX
/usr/sbin/systune ipforward to 2

6. 調(diào)整TIME_WAIT setting 設置

在一些比較繁忙的WEB服務器上，許多套接口可能就處于TIME_WAIT狀態(tài)，這是
由于一些不正規(guī)編碼的客戶端應用程序沒有很正確的處理套接口所引起的，這
就可能引起如DDOS的攻擊。

A. AIX
沒有推薦設置.

B. Solaris
/usr/sbin/ndd -set /dev/tcp tcp_time_wait_interval 60000

這個參數(shù)影響了TCP套接口保持TIME_WAIT狀態(tài)的時間數(shù)，默認情況下對于一個
繁忙的WEB服務器太高了，所以需要設置到低于每60秒，這個參數(shù)名字適用與
Solaris7或者更高的版本，在Solaris 7之前的版本，其名字不正確
的表識為tcp_close_wait_interval.

C. Tru64 UNIX
沒有推薦的調(diào)整設置.

D. HP-UX
ndd -set /dev/tcp tcp_time_wait_interval 60000
套接口將保持TIME_WAIT狀態(tài)不超過60秒.

E. Linux kernel 2.2
/sbin/sysctl -w net.ipv4.vs.timeout_timewait=60
套接口將保持TIME_WAIT狀態(tài)不超過60秒.

F. FreeBSD
沒有推薦的調(diào)整設置.

G. IRIX
/usr/sbin/systune tcp_2msl to 60

7，調(diào)整廣播ECHO響應

Smurf攻擊就是一個偽造的地址通過發(fā)送ICMP 8 0 (ECHO REQUEST) 信息到一個廣
播地址，一些IP堆棧默認情況下會響應這些信息，所以必須關閉這個特征。如果
這個主機作為防火墻使用(router)，關閉這個特征就不能處理處理廣播。

A. AIX
/usr/sbin/no -o directed_broadcast=0
不響應直接廣播.

B. Solaris
/usr/sbin/ndd -set /dev/ip ip_respond_to_echo_broadcast 0
不響應直接廣播.
/usr/sbin/ndd -set /dev/ip ip_forward_directed_broadcasts 0
不轉(zhuǎn)發(fā)直接廣播.

C. Tru64 UNIX
沒有推薦調(diào)整設置.

D. HP-UX
ndd -set /dev/ip ip_respond_to_echo_broadcast 0
不響應直接廣播.
ndd -set /dev/ip ip_forward_directed_broadcasts 0
不轉(zhuǎn)發(fā)直接廣播.

E. Linux kernel 2.2
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1
不響應直接廣播.

F. FreeBSD
sysctl -w net.inet.icmp.bmcastecho=0

G. IRIX
/usr/sbin/systune allow_brdaddr_srcaddr to 0

8，針對其他廣播探測的調(diào)整

其他還有2個廣播探測可以讓惡意用戶利用，一個就是地址掩碼查詢可以用來探測
網(wǎng)絡段大小和范圍。時間戳廣播可以映射和鑒定主機類型。

A. AIX
/usr/sbin/no -o icmpaddressmask=0
防止地址掩瑪查詢.

B. Solaris
/usr/sbin/ndd -set /dev/ip ip_respond_to_address_mask_broadcast 0
防止地址掩瑪查詢.

/usr/sbin/ndd -set /dev/ip ip_respond_to_timestamp_broadcast 0
關閉對時間戳廣播詢問的響應.

C. Tru64 UNIX
沒有推薦的調(diào)整.

D. HP-UX
ndd -set /dev/ip ip_respond_to_address_mask_broadcast 0
防止泄露主機配置的網(wǎng)絡掩碼.

ndd -set /dev/ip ip_respond_to_timestamp_broadcast 0
關閉對時間戳廣播詢問的響應.

E. Linux kernel 2.2
沒有推薦的調(diào)整.

F. FreeBSD
sysctl -w net.inet.icmp.maskrepl=0

G. IRIX
使用ipfilterd 來阻塞不需要的ICMP類型.

9，調(diào)整參數(shù)以支持RFC1948

下面幾個調(diào)整會利用RFC1948(http://www.ietf.org/rfc/rfc1948.txt?number=1948)
TCP/IP序列號產(chǎn)生技術來保證給一個TCP 套接口的序列號碼非常難猜測：

B. Solaris
Set TCP_STRONG_ISS=2 in /etc/default/inetinit.
這需要重新啟動才能使能.

G. IRIX
/usr/sbin/systune tcpiss_md5 to 1
（出處：viphot）

最新評論