Blockieren von Skype mithilfe von Snort und iptables

4599
Vin

Ich versuche, Skype mit snortund zu blockieren iptables. Ich habe viele Papiere gelesen und den Port, die Schlüsselwörter und Muster, die Skype verwendet, blockiert. Es ist aber immer noch nicht blockiert.

Meine Frage lautet: Wenn Skype HTTP-Port 80 oder https-Port 443 verwendet, wie erkennt der Computer dieses Paket als Skype-Paket und nicht als Webpaket? Dies könnte mir beim Blockieren von Skype helfen.

5
Eine "intelligente" Paketinspektionstechnik muss verwendet werden - sie muss die tatsächlichen Daten prüfen, um zu entscheiden, was zu tun ist. Wie bereits erwähnt, gibt es keine Möglichkeit, Skype vom normalen HTTP / HTTPS-Verkehr zu trennen, ohne weiter darüber nachzudenken. Die Möglichkeit, nach anderen Endpunktmerkmalen zu filtern, ist jedoch nicht möglich. (Die HTTPS-Inspektion ist im Allgemeinen problematisch, ohne die implizierte Sicherheit durch einen Proxy zu brechen ;-) In jedem Fall wahrscheinlich besser für Superuser. pst vor 12 Jahren 0
Schreiben Sie ein Programm, um Skype zu blockieren, oder was? Shawn Mclean vor 12 Jahren 0
Nein, ich schreibe kein Programm. Ich verwende nur Snort und iptables und versuche, Skype mit einigen P2P-Regeln zu blockieren. Vin vor 12 Jahren 0
@pst: Richtig. Was betrachtet der Computer dann weiter, wenn er die Kopfzeilen des 80/443-Ports sieht, um das Paket an die Skype-Anwendung weiterzuleiten? Vin vor 12 Jahren 0

2 Antworten auf die Frage

1
Shadok

Here is a link to article presenting a Snort rule to block Skype: http://www.md3v.com/block-skype-with-snort

The signature we are looking here is "17 03 01 00" which is the reply given to a client logging in.
If you are curious make sure to have a look at this page: http://www1.cs.columbia.edu/~salman/skype/

Hallo Shadok, ich habe schon alles versucht. Aber es wird immer noch nicht blockiert. Ein weiterer Punkt ist, dass ich aus irgendeinem Grund die Signatur 17 03 01 in meinen Dumps nicht sehen kann. Ich habe tatsächlich die gleichen Regeln angewandt, die Sie oben erwähnt haben. Vin vor 12 Jahren 0
Leider habe ich keine Snort-Instanz, um sie jetzt zu testen, aber ich kann Ihnen versichern, dass diese in den aktuellen Regeln vorhanden sind, siehe sid: 5998 und sid: 5999 hier: http: // www. snort.org/search Shadok vor 12 Jahren 0
1
Jan Schejbal

In Bezug auf "Wie erkennt der Computer dieses Paket als Skype-Paket und nicht als Webpaket?": Das Paket geht an das Programm, das an dem Port abgehört wird. Wenn sich Skype für die Verwendung von TCP / 80 entscheidet und aus Versehen mit einem Webserver zu sprechen beginnt, wird der Webserver verwirrt, es wird ein Fehler ausgegeben (oder die Antwort wird abgelehnt), und Skype gibt auf. Wenn sich ein Web-Client für eine Verbindung zu Skype entscheidet, wird Skype die Anforderung sehen und erkennen, dass es sich nicht um Skype handelt.

Das bedeutet, dass Sie Skype nicht allein mit den IP- / Port-Informationen blockieren können. Für das Blockieren basierend auf dem Inhalt mit statischen Regeln wird immer eine feste Signatur verwendet. Da Skype proprietär ist, kann sich das Protokoll jederzeit ändern, wodurch alte Regeln unbrauchbar werden. Skype ist bekannt dafür, Filter zu umgehen. Es würde mich nicht wundern, wenn sie am Anfang einen zufälligen Schlüssel hinzufügen und den Rest des Datenverkehrs mit Skypes proprietärer RC4-Version entweder jetzt oder in Zukunft verschlüsseln. Dies würde es unmöglich machen, den Verkehr von zufälligem Rauschen zu unterscheiden.

Mit Port 443-Verkehr könnten sie auch einfach eine echte SSL-Verbindung herstellen. Dies würde es sehr schwierig machen, zu unterscheiden (wenn dies richtig gemacht wird), wenn Sie keine Verkehrsanalyse durchführen möchten (wie in "Menge und Zeitpunkt des Verkehrs"). Ich weiß nicht, ob sie es tun, aber das proprietäre Protokoll kann sich ändern.

Die zuverlässigste Methode, Benutzer von der Verwendung von Skype abzuhalten, ist möglicherweise das Durchsuchen der ausführbaren Dateien auf den Computern und / oder LARTing-Benutzern, die durch die Verwendung von Richtlinien gegen die Richtlinien verstoßen.

Überprüfen Sie auch den Verkehr an anderen Ports. 80 und (wahrscheinlicher "oder") 443 sind wahrscheinlich nur das Minimum, das Skype benötigt. Es kann sein, dass Sie mit einigen fehlenden Ports zufrieden sind, auch wenn 80/443 vollständig gesperrt sind. Prüfen Sie den UDP-Verkehr!

Verwandte Probleme