iptables setting on CentOS 5.4

今朝起きたらなにやら不審なメールが。

clamavがウイルスを発見したらしい。

おお、初めておきた。けどこの設定意味なくね？どれから見つかったのか分からないと重大さが分からないよ。おそらく誤検知と放っておいて良いのか、やばそうなのか。どちらにしても幸い休日でもあるのでとりあえずチェック。tripwaireで特に変更は検出されていない。そういえばiptablesの設定は？

見てみるとなにやらRH-....がanywhereからOKになっている。あれ、デフォルト特に問題なしだから掘っておいた記憶が、、、まずくね、これ。とパニくる。（実際は問題ないようだ。知識がないとこう言うときに困る。）

で早速いつものネタ もとを参照して設定を作る。

shを動かすと死んだ。・・・どうも書き間違えらしい。sshを開ける前にshが死んでいるようで、sshはつながらない。仕方がないのでコンソールをつなぐと解像度が合っていない。小さいならまだしもはみ出て見えない。が、とりあえず手探りで修正。スペルミスやら何やらを直してようやくshの起動。

どうもネタ元をそのまま動かすとこの環境ではエラーがでるようだ。なんかsedの引数が悪くて、iptablesが「｀なんか知らない」と言っている。とりあえず設定を確認するとやっぱり最初はINPUTがanywhereからアクセスできるようになっている。これまずくね。もしかして勝手に書き換えられてる？と、再びパニくる。manやらWebやらいろいろ調べる。そこで分かったのが、ポリシーでとりあえずけっ飛ばして、あとで穴を開けるようにshではコマンドを打っているのだが、実際の設定ファイルはそのように設定しないらしい。

shでの設定の仕方から、ApacheのようにとりあえずDeny.Allしてあとから穴を開けるように設定ファイルが記述されると思いこんでいた。どうも実際にはiptablesではそのような設定はできなくて、閉めたら開かないもののようだ。そんなわけで、sh上ではとりあえず閉めて、開ける箇所を設定しても、実際の設定ファイルはとりあえず開けてその後条件を付けて、最後に残りを閉める。そういう書き方になっている実際の設定ファイルとsh上での設定と同一であることを確認して何とか無事終了。

とりあえず、がっつり閉めておいた。バックドアがあれば分からんけど。（99%誤検知だと思うのだが。）

sedの引数の件はネタもとの比較とmanでの確認、shでコマンドを実際に打ってみて欲しいものがでていることの確認までやってみたがどうにも何がいけないのか分からない。とりあえず実際の設定には問題がなさそうなので放置することにした。あとはclamavがウイルス見つけたときの処理の変更とiptablesのログの監視を今度設定しようと思う。

あ、後、解像度の変更と。Xは動いていないのでgrub.confと言うものを書き換えればいいようなのだがどうもカーネルの設定をいじるようなので落ち着いてからにしようと思う。

今日の予定が台無しだ。orz