Ho una gamma di porte TCP in entrata aperte sul firewall, ma di solito chiuse sul computer host. Ogni giorno vedo una manciata di tentativi di connessione sconosciuti, per i quali il server restituisce TCP RST. Mi chiedo, dovrei configurare IPTABLES per rilasciarli silenziosamente, quindi uno scanner non può apprendere così velocemente lo stato di una porta? Se il volume fosse alto, lo farei per evitare di pagare la larghezza di banda in uscita, ma c'è qualche altra ragione oltre a quella?
Se si vuole prendere la briga di farlo dipende in gran parte dal proprio modello di minaccia e dallo sforzo richiesto per apportare la modifica.
L'effetto di filtrare l'accesso alle porte chiuse è che rende più difficile per qualcuno stampare a piè di pagina una rete per stabilire potenziali bersagli d'attacco.
In teoria qualsiasi informazione fornita a un utente malintenzionato è utile per loro, quindi ridurre la quantità di informazioni fornite migliora la sicurezza.
Esiste anche il rischio potenziale che a un certo punto il tuo host potrebbe avere un bug sfruttabile nello stack TCP / IP che potrebbe essere sfruttato da un host di scansione.
Qualunque cosa ti importi abbastanza, come dico dipende dal tuo particolare modello di rischio. In generale, direi che se è facile da fare e non ha altre conseguenze negative, filtrare sicuramente il traffico.
Esistono numerosi motivi per consentire l'invio di quei pacchetti RST.