Un utente malintenzionato può rilevare se è abilitato un TARPIT?

0

L'ultima cosa che vogliamo fare è provocare un attaccante e offrire loro sfide o puzzle indirettamente per dare loro una bandiera per rimanere e continuare a hackerare piuttosto che passare ad altri host. Se possibile, non voglio che gli hacker sappiano che le mie regole di iptables hanno TARPIT abilitato per determinate porte.

Se non so che TARPIT è abilitato, nella maggior parte dei casi, come utente, si sente semplicemente pigro o poco reattivo e dopo un po ', immagino che mi arrenderei perché il server probabilmente sta funzionando lentamente o ha un hardware molto lento. Penso che l'ultima volta che ho provato a nmap sul mio host TARPIT abilitato, ha appena segnalato che la porta era aperta, ma non l'ha rallentata, quindi dal punto di vista dell'attaccante, è come al solito.

Anche se è più per motivi di preoccupazione, dal punto di vista accademico, sono anche curioso di sapere se l'endpoint ha abilitato o meno TARPIT e cosa si può fare per renderlo meno ovvio.

    
posta HidekiAI 21.09.2014 - 18:54
fonte

1 risposta

1

In base al link "Le connessioni sono accettate, ma passate immediatamente al stato persistente (finestra 0 byte) ... ".

Poiché la finestra viene inviata al peer nel pacchetto TCP, un hacker esperto potrebbe dedurre da un dump di pacchetti che il tuo sistema è permanentemente sovraccarico perché tutte le connessioni si bloccano immediatamente o che sta eseguendo una sorta di tarpit, nel qual caso il l'attaccante potrebbe probabilmente scoprire facilmente quali porte non sono protette dal tarpit. La maggior parte degli script kiddies probabilmente non capirà cosa sta succedendo e si arrenderà.

    
risposta data 21.09.2014 - 20:29
fonte

Leggi altre domande sui tag