このトピックでは、ping-of-death攻撃の検出を設定する方法について説明します。
IP ヘッダーのプロトコル フィールドを持つ IP データグラムは 1(ICMP)、最後のフラグメント ビット、(IP オフセット * 8) + (IP データ長) > 65535 に設定されます。IP オフセット(元のパケットにおけるこのフラグメントの開始位置を表し、8 バイト単位)とパケットの残りの部分が、IP パケットの最大サイズを超えています。
ping-of-death攻撃のIDP攻撃の検出を有効にするには:
- インターフェイスを設定し、インターフェイスにIPアドレスを割り当てます。
[edit]
user@host# set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24
user@host# set interfaces ge-0/0/3 unit 0 family inet address 198.51.100.0/24
- セキュリティ ゾーン trustZone を設定し、 untrustZone インターフェイスを割り当てます。
[edit]
user@host# set security zones security-zone trustZone host-inbound-traffic system-services all
user@host# set security zones security-zone trustZone host-inbound-traffic protocols all
user@host# set security zones security-zone trustZone interfaces ge-0/0/1.0
user@host# set security zones security-zone untrustZone host-inbound-traffic system-services all
user@host# set security zones security-zone untrustZone host-inbound-traffic protocols all
user@host# set security zones security-zone untrustZone interfaces ge-0/0/3.0
- から untrustZone への trustZoneセキュリティ ポリシーを構成します。
[edit]
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 match source-address any
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 match destination-address any
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 match application any
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 then permit
user@host# set security policies default-policy deny-all
- セキュリティ画面を設定し、 に添付します untrustZone。
[edit]
user@host# set security screen ids-option untrustScreen icmp ping-death
user@host# set security zones security-zone untrustZone screen untrustScreen
user@host# set security screen ids-option untrustScreen alarm-without-drop
- syslogを設定します。
[edit]
user@host# set system syslog file syslog any any
user@host# set system syslog file syslog archive size 10000000
user@host# set system syslog file syslog explicit-priority
user@host# set system syslog file syslog structured-data
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 then log session-init
user@host# set security policies from-zone untrustZone to-zone trustZone policy policy1 then log session-close
- 設定をコミットします。
