¿Puede un atacante detectar si tengo habilitado un TARPIT?

0

Lo último que queremos hacer es provocar a un atacante y ofrecerle desafíos o rompecabezas indirectamente para darles una bandera para que permanezcan y continúen hackeando en lugar de pasar a otros hosts. Si es posible, no deseo que los atacantes sepan que mis reglas de iptables tienen habilitado TARPIT para ciertos puertos.

Si no sé que TARPIT está habilitado, en la mayoría de los casos, como usuario, simplemente se siente lento o no responde y después de un tiempo, me imagino que simplemente me rendiré porque el servidor probablemente esté funcionando lento o Tiene un hardware muy lento. Creo que la última vez que traté de hacer nmap en mi host habilitado para TARPIT, solo informé que el puerto estaba abierto, pero no lo desaceleró, por lo que, desde el punto de vista del atacante, funciona como siempre.

Aunque es más por motivos de preocupación, desde el punto de vista académico, también tengo curiosidad por saber si el punto final tiene habilitado el TARPIT o no, y qué se puede hacer para hacerlo menos obvio.

    
pregunta HidekiAI 21.09.2014 - 18:54
fuente

1 respuesta

1

Según enlace "Las conexiones se aceptan, pero se cambian de inmediato a estado persistente (ventana de 0 bytes) ... ".

Dado que la ventana se envía al interlocutor en el paquete TCP, un atacante experto podría deducir de un volcado de paquetes que su sistema está sobrecargado permanentemente porque todas las conexiones se detienen de inmediato o que está ejecutando algún tipo de tarpit, en cuyo caso el atacante probablemente podría descubrir fácilmente qué puertos no están protegidos por el tarpit. La mayoría de los chavales de guiones en lugar de eso probablemente no entiendan lo que está pasando y simplemente se rindan.

    
respondido por el Steffen Ullrich 21.09.2014 - 20:29
fuente

Lea otras preguntas en las etiquetas