The firewall configuration is relatively easy to set up.

فائر وال کی تشکیل نسبتاً آسانی سے کی جا سکتی ہے۔


Anti-spoofing rules are crucial for network security.

اینٹی سپوفنگ قوانین نیٹ ورک کی حفاظت کے لیے بہت اہم ہیں۔


SSH connections from the internal network are accepted.

اندرونی نیٹ ورک سے SSH کنکشن قبول کیے جاتے ہیں۔


ICMP Echo Requests are accepted from any source.

کسی بھی ماخذ سے ICMP ایکو درخواستیں قبول کی جاتی ہیں۔


The state match is used for TCP packets.

ریاستی مماثلت TCP پیکٹوں کے لیے استعمال ہوتی ہے۔


Netfilter uses a connection tracking mechanism.

نیٹ فلٹر کنکشن ٹریکنگ میکانزم استعمال کرتا ہے۔


ڈیفالٹ لاگ قاعدہ لاگو ہوتا ہے۔


قبول نہ کیے جانے والے پیکٹ گرا دیے جاتے ہیں۔


The INPUT chain configuration is straightforward.

INPUT چین کی تشکیل سیدھی سادی ہے۔


State tracking is enabled for local traffic.

مقامی ٹریفک کے لیے ریاستی ٹریکنگ فعال ہے۔


Unwanted packets, including spoofed ones, are logged and dropped.

غیر مطلوبہ پیکٹ، بشمول سپوفڈ والے، لاگ ان کیے جاتے ہیں اور گرا دیے جاتے ہیں۔


Similar configurations apply to OUTPUT and FORWARD chains.

اسی طرح کی تشکیل OUTPUT اور FORWARD چینز پر لاگو ہوتی ہے۔


The OUTPUT chain controls packets generated by the local system.

OUTPUT چین مقامی نظام کے ذریعے تیار کردہ پیکٹوں کو کنٹرول کرتا ہے۔


Outbound SYN packets can be permitted or denied.

آؤٹ باؤنڈ SYN پیکٹوں کی اجازت دی جا سکتی ہے یا اسے مسترد کیا جا سکتا ہے۔


Connections initiated from the firewall itself are considered.

فائر وال سے شروع کیے گئے کنکشن پر غور کیا جاتا ہے۔


لاگ قوانین میں IP اور TCP کے اختیارات شامل ہیں۔


This functionality is important for attack detection.

یہ فعالیت حملے کا پتہ لگانے کے لیے اہم ہے۔


The FORWARD chain handles packets not destined for the firewall.

FORWARD چین ان پیکٹوں کو ہینڈل کرتا ہے جو فائر وال کے لیے نہیں ہیں۔


Network Address Translation (NAT) is enabled.

نیٹ ورک ایڈریس ٹرانسلیشن (NAT) فعال ہے۔


The iptables policy is easily instantiated.

iptables پالیسی آسانی سے انسٹال ہو جاتی ہے۔


Use IP tables to detect and prevent network-based attacks.

نیٹ ورک پر مبنی حملوں کا پتہ لگانے اور روکنے کے لیے IP ٹیبلز کا استعمال کریں۔


لینکس فائر والز ایک بہترین کتاب ہے۔


This book provides valuable information.

یہ کتاب قیمتی معلومات فراہم کرتی ہے۔


The author approaches the subject in a layered method.

مصنف اس موضوع کو ایک پرت دار طریقہ سے پیش کرتا ہے۔


The book also takes a stab at teaching the basics of network security.

کتاب نیٹ ورک سیکیورٹی کی بنیادی باتیں سکھانے کی کوشش بھی کرتی ہے۔


This admirable text goes much further than advertised.

یہ قابل تعریف متن اشتہار سے کہیں زیادہ آگے جاتا ہے۔


If you are responsible for keeping a secure network, Linux Firewalls is an invaluable resource.

اگر آپ ایک محفوظ نیٹ ورک کو برقرار رکھنے کے ذمہ دار ہیں، تو لینکس فائر والز ایک انمول وسیلہ ہے۔


This book will help you to configure them securely.

یہ کتاب آپ کو انہیں محفوظ طریقے سے ترتیب دینے میں مدد کرے گی۔


It will help you understand how they can be monitored.

یہ آپ کو یہ سمجھنے میں مدد کرے گا کہ ان کی نگرانی کیسے کی جا سکتی ہے۔


The book covers attack detection and response.

کتاب حملے کا پتہ لگانے اور اس کا جواب دینے کا احاطہ کرتی ہے۔


The book is about the convergence of these two technologies.

یہ کتاب ان دو ٹیکنالوجیز کے ملاپ کے بارے میں ہے۔


I will devote significant coverage to three open source software projects.

میں تین اوپن سورس سافٹ ویئر پروجیکٹس کو نمایاں کوریج دوں گا۔


These projects are designed to maximize the effectiveness of iptables.

یہ پروجیکٹس iptables کی تاثیر کو زیادہ سے زیادہ کرنے کے لیے ڈیزائن کیے گئے ہیں۔


A firewall is the implementation of your Internet security policy.

فائر وال آپ کی انٹرنیٹ سیکیورٹی پالیسی کا نفاذ ہے۔


In the modern attack environment, this sort of defense is entirely insufficient.

جدید حملے کے ماحول میں، اس قسم کا دفاع مکمل طور پر ناکافی ہے۔


Attackers exploit weaknesses in rich-media platforms.

حملہ آور امیر میڈیا پلیٹ فارمز میں کمزوریوں کا استحصال کرتے ہیں۔


Web applications dominate the server landscape.

ویب ایپلیکیشنز سرور کے منظر نامے پر حاوی ہیں۔


This makes the picture seem fairly bleak for firewall products.

یہ فائر وال مصنوعات کے لیے تصویر کو کافی مایوس کن بنا دیتا ہے۔


Host-centric defense is increasingly important.

میزبان پر مبنی دفاع تیزی سے اہم ہوتا جا رہا ہے۔


Linux Firewalls will teach you how hosts can protect themselves.

لینکس فائر والز آپ کو سکھائے گا کہ میزبان خود کو کیسے محفوظ رکھ سکتے ہیں۔


The first test is to generate an unsolicited ICMP Echo Reply packet from the external network.

پہلا ٹیسٹ بیرونی نیٹ ورک سے غیر مطلوبہ ICMP ایکو ریپلائی پیکٹ تیار کرنا ہے۔


By examining the iptables log, we see that this is indeed the case.

iptables لاگ کا جائزہ لینے سے، ہم دیکھتے ہیں کہ واقعی ایسا ہی ہے۔


Similarly, the same result is achieved from the internal network.

اسی طرح، اندرونی نیٹ ورک سے بھی یہی نتیجہ حاصل ہوتا ہے۔


This chapter focuses on iptables concepts that are important for the rest of the book.

یہ باب iptables کے ان تصورات پر توجہ مرکوز کرتا ہے جو کتاب کے بقیہ حصے کے لیے اہم ہیں۔


We are now ready to jump into a treatment of attacks that we can detect—and thwart, as we shall see—with iptables.

اب ہم ان حملوں کے علاج میں کودنے کے لیے تیار ہیں جن کا ہم iptables کے ذریعے پتہ لگا سکتے ہیں—اور ناکام بنا سکتے ہیں، جیسا کہ ہم دیکھیں گے۔


The network layer—layer three in the OSI Reference Model—is the primary mechanism for end-to-end routing and delivery of packet data on the Internet.

نیٹ ورک کی تہہ—OSI ریفرنس ماڈل میں تہہ تین—انٹرنیٹ پر پیکٹ ڈیٹا کی آخر سے آخر تک روٹنگ اور ڈیلیوری کا بنیادی طریقہ کار ہے۔


In this chapter, we’ll focus first on how iptables logs network layer packet headers within log message output.

اس باب میں، ہم سب سے پہلے اس بات پر توجہ مرکوز کریں گے کہ iptables لاگ میسج آؤٹ پٹ کے اندر نیٹ ورک لیئر پیکٹ ہیڈرز کو کیسے لاگ کرتا ہے۔


With the iptables LOG target, firewalls built with iptables have the ability to write log data to syslog for nearly every field of the IPv4 headers.

iptables LOG ٹارگٹ کے ساتھ، iptables کے ساتھ بنائے گئے فائر والز میں IPv4 ہیڈرز کے تقریباً ہر فیلڈ کے لیے syslog میں لاگ ڈیٹا لکھنے کی صلاحیت موجود ہے۔


Because the iptables logging format is quite thorough, iptables logs are well-suited to supporting the detection of many network layer header abuses.

چونکہ iptables لاگنگ فارمیٹ کافی مکمل ہے، اس لیے iptables لاگ بہت سے نیٹ ورک لیئر ہیڈر کے غلط استعمال کا پتہ لگانے میں معاون ہیں۔


The IP header is defined by RFC 791, which describes the structure of the header used by IP.

IP ہیڈر کو RFC 791 کے ذریعے بیان کیا گیا ہے، جو IP کے ذریعے استعمال ہونے والے ہیڈر کی ساخت کو بیان کرتا ہے۔


Here is an example iptables log message generated by sending an ICMP Echo Request from the ext_scanner system toward the iptablesfw system.

یہاں ایک مثال ہے iptables لاگ میسج کی جو ext_scanner سسٹم سے iptablesfw سسٹم کی طرف ICMP ایکو ریکوئسٹ بھیجنے سے تیار کی گئی ہے۔


The IP header begins in the log message above with the source IP address.

IP ہیڈر اوپر والے لاگ میسج میں سورس IP ایڈریس سے شروع ہوتا ہے۔


IP options provide various control functions for IP communications.

IP آپشنز IP مواصلات کے لیے مختلف کنٹرول فنکشن فراہم کرتے ہیں۔


For iptables to log the options portion of the IP header, use the following command.

iptables کے لیے IP ہیڈر کے آپشنز والے حصے کو لاگ کرنے کے لیے، درج ذیل کمانڈ استعمال کریں۔


The default LOG rules in the policy built by the iptables.sh script in Chapter 1 all use the --log-ip-options command-line argument.

باب 1 میں iptables.sh اسکرپٹ کے ذریعے بنائی گئی پالیسی میں ڈیفالٹ LOG قواعد سبھی --log-ip-options کمانڈ لائن دلیل استعمال کرتے ہیں۔


ICMP (defined by RFC 792) has a simple header that is only 32 bits wide.

ICMP (RFC 792 کے ذریعے بیان کردہ) میں ایک سادہ ہیڈر ہے جو صرف 32 بٹس چوڑا ہے۔


Like the IP header, the LOG target always logs the ICMP type and code fields, and never logs the ICMP checksum field.

IP ہیڈر کی طرح، LOG ٹارگٹ ہمیشہ ICMP ٹائپ اور کوڈ فیلڈز کو لاگ کرتا ہے، اور کبھی بھی ICMP چیکسم فیلڈ کو لاگ نہیں کرتا ہے۔


We define a network layer attack as a packet or series of packets that abuses the fields of the network layer header.

ہم نیٹ ورک لیئر حملے کو ایک ایسے پیکٹ یا پیکٹوں کی سیریز کے طور پر بیان کرتے ہیں جو نیٹ ورک لیئر ہیڈر کے فیلڈز کا غلط استعمال کرتے ہیں۔


Network attacks fall into one of three categories.

نیٹ ورک حملے تین زمروں میں سے ایک میں آتے ہیں۔


The Smurf attack is an old but elegant technique whereby an attacker spoofs ICMP Echo Requests to a network broadcast address.

سمرف حملہ ایک پرانی لیکن شاندار تکنیک ہے جس کے ذریعے حملہ آور نیٹ ورک براڈکاسٹ ایڈریس پر ICMP ایکو ریکوئسٹس کو سپوف کرتا ہے۔


Recent kernels allow you to filter packets by default with an iptables policy.

حالیہ کرنل آپ کو ڈیفالٹ کے طور پر آئی پی ٹیبلز پالیسی کے ساتھ پیکٹ فلٹر کرنے کی اجازت دیتے ہیں۔


While many Linux distributions come with pre-built kernels that already have iptables compiled in, the default kernel configuration tries to stay as lean and mean as possible.

جبکہ بہت سے لینکس ڈسٹری بیوشنز پہلے سے بنے ہوئے کرنلز کے ساتھ آتے ہیں جن میں پہلے سے ہی آئی پی ٹیبلز مرتب شدہ ہیں، ڈیفالٹ کرنل کنفیگریشن زیادہ سے زیادہ صاف اور موثر رہنے کی کوشش کرتی ہے۔


For example, the Netfilter connection-tracking capability is not enabled by default in the 2.6.20.1 kernel.

مثال کے طور پر، نیٹ فلٹر کنکشن ٹریکنگ کی صلاحیت 2.6.20.1 کرنل میں بطور ڈیفالٹ فعال نہیں ہے۔


Hence, it is important to understand the process of recompiling the kernel so that iptables policies can make use of additional functionality.

لہذا، کرنل کو دوبارہ مرتب کرنے کے عمل کو سمجھنا ضروری ہے تاکہ آئی پی ٹیبلز پالیسیاں اضافی فعالیت کا استعمال کر سکیں۔


The most important step towards building a Linux system that can function as an iptables firewall is the proper configuration and compilation of the Linux kernel.

لینکس سسٹم بنانے کی طرف سب سے اہم قدم جو آئی پی ٹیبلز فائر وال کے طور پر کام کر سکتا ہے، لینکس کرنل کی مناسب کنفیگریشن اور تالیف ہے۔


All heavy network-processing and comparison functions in iptables take place within the kernel.

آئی پی ٹیبلز میں تمام بھاری نیٹ ورک پروسیسنگ اور موازنہ کے افعال کرنل کے اندر ہوتے ہیں۔


We’ll begin by compiling the latest version of the kernel from the 2.6 stable series.

ہم 2.6 مستحکم سیریز سے کرنل کا تازہ ترین ورژن مرتب کرنے سے شروع کریں گے۔


Although a complete treatment of the vagaries of the kernel compilation process is beyond the scope of this book, we’ll discuss enough of the process for you to compile in and enable the critical capabilities of packet filtering, connection tracking, and logging.

اگرچہ کرنل تالیف کے عمل کی پیچیدگیوں کا مکمل علاج اس کتاب کے دائرہ کار سے باہر ہے، لیکن ہم اس عمل پر کافی بحث کریں گے تاکہ آپ پیکٹ فلٹرنگ، کنکشن ٹریکنگ، اور لاگنگ کی اہم صلاحیتوں کو مرتب اور فعال کر سکیں۔


For more information on compiling the 2.6 series kernel, see the Kernel Rebuild Guide written by Kwan Lowe.

2.6 سیریز کے کرنل کو مرتب کرنے کے بارے میں مزید معلومات کے لیے، کوان لو نے کی طرف سے لکھی گئی کرنل ری بلڈ گائیڈ دیکھیں۔


Before you can install the Linux kernel, you need to download and unpack it.

لینکس کرنل کو انسٹال کرنے سے پہلے، آپ کو اسے ڈاؤن لوڈ اور ان پیک کرنے کی ضرورت ہے۔


The following commands accomplish this for the 2.6.20.1 kernel.

مندرجہ ذیل کمانڈز 2.6.20.1 کرنل کے لیے یہ کام انجام دیتے ہیں۔


Although I have chosen specific kernel versions in the commands above, the analogous commands apply for newer kernel versions.

اگرچہ میں نے اوپر دی گئی کمانڈز میں مخصوص کرنل ورژن کا انتخاب کیا ہے، لیکن اسی طرح کی کمانڈز نئے کرنل ورژن کے لیے بھی لاگو ہوتی ہیں۔


To help reduce the load, the kernel can be downloaded from one of the mirrors.

بوجھ کو کم کرنے میں مدد کے لیے، کرنل کو آئینے میں سے ایک سے ڈاؤن لوڈ کیا جا سکتا ہے۔


Once you have a particular version of the kernel sources on your system, you can download and apply a kernel patch file to upgrade to the next version.

ایک بار جب آپ کے سسٹم پر کرنل سورسز کا ایک خاص ورژن موجود ہے، تو آپ اگلی ورژن میں اپ گریڈ کرنے کے لیے ایک کرنل پیچ فائل ڈاؤن لوڈ اور لاگو کر سکتے ہیں۔


Before you can begin compiling, you must construct a kernel configuration file.

مرتب کرنا شروع کرنے سے پہلے، آپ کو ایک کرنل کنفیگریشن فائل بنانی ہوگی۔


Fortunately, the process of building this file has been automated by kernel developers, and it can be initiated with a single command.

خوش قسمتی سے، اس فائل بنانے کا عمل کرنل ڈویلپرز نے خودکار کر دیا ہے، اور اسے ایک ہی کمانڈ سے شروع کیا جا سکتا ہے۔


The make menuconfig command launches the Ncurses interface in which you can select various compile options.

make menuconfig کمانڈ Ncurses انٹرفیس کو لانچ کرتا ہے جس میں آپ مختلف کمپائل آپشنز منتخب کر سکتے ہیں۔


I’ve chosen the Ncurses interface because it provides a nice balance between the spartan terminal interface and the relatively expensive X Windows interface.

میں نے Ncurses انٹرفیس کا انتخاب کیا ہے کیونکہ یہ سپارٹن ٹرمینل انٹرفیس اور نسبتاً مہنگے X ونڈوز انٹرفیس کے درمیان ایک اچھا توازن فراہم کرتا ہے۔


After executing make menuconfig, we are presented with several configuration sections ranging from Code Maturity Level options to Library Routines.

make menuconfig کو چلانے کے بعد، ہمیں کئی کنفیگریشن سیکشنز پیش کیے جاتے ہیں جن میں کوڈ میچورٹی لیول کے اختیارات سے لے کر لائبریری روٹینز تک شامل ہیں۔


Most Netfilter compilation options for the 2.6-series kernel are located within a section called Network Packet Filtering Framework (Netfilter) under Networking Networking Options.

2.6 سیریز کے کرنل کے لیے زیادہ تر نیٹ فلٹر کمپائلیشن آپشنز نیٹ ورکنگ نیٹ ورکنگ آپشنز کے تحت نیٹ ورک پیکٹ فلٹرنگ فریم ورک (نیٹ فلٹر) نامی سیکشن میں واقع ہیں۔


If you run a networked Linux machine, your system is at risk of being attacked and potentially compromised every second of every day.

اگر آپ نیٹ ورک والا لینکس مشین چلاتے ہیں، تو آپ کا نظام ہر سیکنڈ میں حملے اور ممکنہ طور پر سمجھوتہ کرنے کے خطرے میں ہے۔


Deploying a strict iptables filtering policy is a good first step toward maintaining a strong security stance.

ایک سخت iptables فلٹرنگ پالیسی کو لاگو کرنا ایک مضبوط حفاظتی موقف کو برقرار رکھنے کی طرف ایک اچھا پہلا قدم ہے۔


Even if your Linux system is connected to a network that is protected upstream by another firewall or other filtering device, there is always a chance that this upstream device may be unable to provide adequate protection.

یہاں تک کہ اگر آپ کا لینکس سسٹم کسی ایسے نیٹ ورک سے جڑا ہوا ہے جو کسی دوسرے فائر وال یا دیگر فلٹرنگ ڈیوائس کے ذریعے اپ اسٹریم محفوظ ہے، تو ہمیشہ اس بات کا امکان موجود ہے کہ یہ اپ اسٹریم ڈیوائس مناسب تحفظ فراہم کرنے سے قاصر ہو سکتا ہے۔


Such a device might be configured improperly, it might suffer from a bug or other failure, or it might not possess the ability to protect your Linux system from certain classes of attack.

ایسا آلہ غلط طریقے سے ترتیب دیا جا سکتا ہے، یہ کسی بگ یا دیگر ناکامی کا شکار ہو سکتا ہے، یا اس میں آپ کے لینکس سسٹم کو حملے کی بعض اقسام سے بچانے کی صلاحیت نہیں ہو سکتی ہے۔


It is important to achieve a decent level of redundancy wherever possible, and the security benefits of running iptables on every Linux system (both servers and desktops) can outweigh the additional management overhead.

جہاں تک ممکن ہو، مناسب سطح کی تکرار حاصل کرنا ضروری ہے، اور ہر لینکس سسٹم (دونوں سرورز اور ڈیسک ٹاپس) پر iptables چلانے کے حفاظتی فوائد اضافی انتظامی اوور ہیڈ سے زیادہ ہو سکتے ہیں۔


Put another way, the risks of a compromise and the value of the data that could be lost will likely outweigh the cost of deploying and maintaining iptables throughout your Linux infrastructure.

دوسرے لفظوں میں، سمجھوتہ کرنے کے خطرات اور کھوئے جا سکنے والے ڈیٹا کی قدر آپ کے لینکس انفراسٹرکچر میں iptables کو تعینات کرنے اور برقرار رکھنے کی لاگت سے زیادہ ہونے کا امکان ہے۔


The primary goal of this book is to show you how to maximize iptables from the standpoints of detecting and responding to network attacks.

اس کتاب کا بنیادی مقصد آپ کو یہ دکھانا ہے کہ نیٹ ورک حملوں کا پتہ لگانے اور ان کا جواب دینے کے نقطہ نظر سے iptables کو کیسے زیادہ سے زیادہ بنایا جائے۔


A restrictive iptables policy that limits who can talk to which services on a Linux system is a good first step, but you will soon see that you can take things much further.

ایک پابندی والی iptables پالیسی جو اس بات کو محدود کرتی ہے کہ لینکس سسٹم پر کون سی سروسز سے بات کر سکتا ہے ایک اچھا پہلا قدم ہے، لیکن آپ جلد ہی دیکھیں گے کہ آپ چیزوں کو بہت آگے لے جا سکتے ہیں۔


The job of detecting intrusions is usually left to special systems that are designed for this purpose and that have a broad view of the local network.

دراندازی کا پتہ لگانے کا کام عام طور پر ان خصوصی نظاموں پر چھوڑ دیا جاتا ہے جو اس مقصد کے لیے بنائے گئے ہیں اور جن میں مقامی نیٹ ورک کا وسیع نظارہ ہوتا ہے۔


This book does not advocate changing this strategy.

یہ کتاب اس حکمت عملی کو تبدیل کرنے کی وکالت نہیں کرتی ہے۔


There is no substitute for having a dedicated network intrusion detection system (IDS) as a part of the security infrastructure charged with protecting a network.

نیٹ ورک کی حفاظت کے بنیادی ڈھانچے کے حصے کے طور پر ایک سرشار نیٹ ورک دراندازی کا پتہ لگانے کا نظام (IDS) رکھنے کا کوئی متبادل نہیں ہے جو نیٹ ورک کی حفاظت کا ذمہ دار ہے۔


In addition, the raw packet data that an IDS can collect is an invaluable source of data.

اس کے علاوہ، خام پیکٹ ڈیٹا جو ایک IDS جمع کر سکتا ہے، ڈیٹا کا ایک انمول ذریعہ ہے۔


Whenever a security analyst is tasked with figuring out what happened during an attack or a system compromise, having the raw packet data is absolutely critical to piecing things together, and an event from an IDS can point the way.

جب بھی کسی سیکیورٹی تجزیہ کار کو یہ معلوم کرنے کا کام سونپا جاتا ہے کہ حملے یا سسٹم کے سمجھوتہ کے دوران کیا ہوا، تو خام پیکٹ ڈیٹا کا ہونا چیزوں کو ایک ساتھ جوڑنے کے لیے بالکل ضروری ہے، اور ایک IDS سے ہونے والا واقعہ راستہ دکھا سکتا ہے۔


Without an IDS to call attention to suspicious activity, an analyst might never even suspect that a system is under attack.

مشکوک سرگرمی کی طرف توجہ مبذول کرنے کے لیے IDS کے بغیر، ایک تجزیہ کار کو کبھی بھی شبہ نہیں ہو سکتا کہ ایک نظام حملے کی زد میں ہے۔


What this book does advocate is using iptables to supplement existing intrusion detection infrastructures.

یہ کتاب جس کی وکالت کرتی ہے وہ موجودہ دراندازی کا پتہ لگانے کے بنیادی ڈھانچے کو پورا کرنے کے لیے iptables کا استعمال ہے۔


The main focus of iptables is applying policy restrictions to network traffic, not detecting network attacks.

iptables کا بنیادی فوکس نیٹ ورک ٹریفک پر پالیسی کی پابندیاں لگانا ہے، نہ کہ نیٹ ورک حملوں کا پتہ لگانا۔


However, iptables offers powerful features that allow it to emulate a significant portion of the capabilities that traditionally lie within the purview of intrusion detection systems.

تاہم، iptables طاقتور خصوصیات پیش کرتا ہے جو اسے ان صلاحیتوں کے ایک اہم حصے کی نقل کرنے کی اجازت دیتا ہے جو روایتی طور پر دراندازی کا پتہ لگانے کے نظام کے دائرہ کار میں آتے ہیں۔


For example, the iptables logging format provides detailed data on nearly every field of the network and transport layer headers (including IP and TCP options), and the iptables string matching capability can perform byte sequence matches against application layer data.

مثال کے طور پر، iptables لاگنگ فارمیٹ نیٹ ورک اور ٹرانسپورٹ لیئر ہیڈرز (بشمول IP اور TCP اختیارات) کے تقریباً ہر فیلڈ پر تفصیلی ڈیٹا فراہم کرتا ہے، اور iptables سٹرنگ میچنگ کی صلاحیت ایپلیکیشن لیئر ڈیٹا کے خلاف بائٹ سیکوئنس میچ انجام دے سکتی ہے۔


Such abilities are critical for providing the ability to detect attempted intrusions.

اس طرح کی صلاحیتیں دراندازی کی کوششوں کا پتہ لگانے کی صلاحیت فراہم کرنے کے لیے بہت اہم ہیں۔


Intrusion detection systems are usually passive devices that are not configured to automatically take any punitive action against network traffic that appears to be malicious.

دراندازی کا پتہ لگانے کے نظام عام طور پر غیر فعال آلات ہوتے ہیں جو نیٹ ورک ٹریفک کے خلاف خود بخود کوئی سزا دینے کے لیے ترتیب نہیں دیے جاتے ہیں جو بدنیتی پر مبنی معلوم ہوتا ہے۔


A DDoS attack at the network layer utilizes many systems to simultaneously flood packets at target IP addresses.

نیٹ ورک کی تہہ پر ایک ڈیڈوس حملہ متعدد نظاموں کو استعمال کرتا ہے تاکہ ایک ہی وقت میں ہدف کے آئی پی پتوں پر پیکٹوں کی سیلاب لایا جا سکے۔


The goal of such an attack is to chew up as much bandwidth on the target network as possible with garbage data.

ایسے حملے کا مقصد ردی ڈیٹا کے ساتھ ہدف کے نیٹ ورک پر زیادہ سے زیادہ بینڈوڈتھ کو ممکن بنانا ہے۔


DDoS attacks are among the more difficult network layer attacks to combat.

ڈیڈوس حملے نیٹ ورک کی تہہ پر حملوں کا مقابلہ کرنا زیادہ مشکل ہے۔


If an attacker succeeds at compromising several systems with fast Internet connections, it is possible to mount a damaging DDoS attack.

اگر کوئی حملہ آور تیز انٹرنیٹ کنکشن کے ساتھ متعدد نظاموں سے سمجھوتہ کرنے میں کامیاب ہو جاتا ہے، تو نقصان دہ ڈیڈوس حملہ کرنا ممکن ہے۔


Because the individual packets created by a DDoS agent can be spoofed, it is generally futile to assign any value to the source IP address.

چونکہ ڈیڈوس ایجنٹ کے ذریعہ بنائے گئے انفرادی پیکٹوں کو جعل سازی کی جا سکتی ہے، اس لیے سورس آئی پی ایڈریس کو کوئی قدر تفویض کرنا عام طور پر بیکار ہے۔


For example, according to the Snort signature ruleset, the Stacheldraht DDoS agent spoofs ICMP packets.

مثال کے طور پر، سنورٹ دستخط کے قاعدے کے مطابق، سٹیکلڈراٹ ڈیڈوس ایجنٹ آئی سی ایم پی پیکٹوں کو جعل سازی کرتا ہے۔


If you see packets with the source IP address set to 3.3.3.3 and the destination IP address set to an external address, you know that a system on your local network has become a Stacheldraht zombie.

اگر آپ سورس آئی پی ایڈریس 3.3.3.3 پر سیٹ اور منزل آئی پی ایڈریس کو بیرونی ایڈریس پر سیٹ دیکھتے ہیں، تو آپ جانتے ہیں کہ آپ کے مقامی نیٹ ورک پر موجود ایک نظام سٹیکلڈراٹ زومبی بن گیا ہے۔


In general, it is more effective to try to detect the control communications associated with DDoS agents.

عام طور پر، ڈیڈوس ایجنٹوں سے وابستہ کنٹرول مواصلات کا پتہ لگانے کی کوشش کرنا زیادہ موثر ہے۔


For example, detecting commands sent from control nodes to zombie nodes over obscure port numbers is a good strategy.

مثال کے طور پر، کنٹرول نوڈس سے زومبی نوڈس کو غیر واضح پورٹ نمبروں پر بھیجے گئے کمانڈز کا پتہ لگانا ایک اچھی حکمت عملی ہے۔


This can also yield results when removing DDoS agents from a network.

یہ نیٹ ورک سے ڈیڈوس ایجنٹوں کو ہٹانے پر بھی نتائج دے سکتا ہے۔


A good example of an attack against the code responsible for processing network layer communications is an exploit for a specific vulnerability.

نیٹ ورک کی تہہ کی مواصلات پر کارروائی کرنے کے ذمہ دار کوڈ کے خلاف حملے کی ایک اچھی مثال ایک مخصوص کمزوری کا استحصال ہے۔


Kernel versions from 2.4.22–2.4.28, and 2.6–2.6.9 are vulnerable.

2.4.22–2.4.28 اور 2.6–2.6.9 سے کرنل کے ورژن کمزور ہیں۔


A successful exploit over the network from a remote system could result in a kernel crash.

ایک ریموٹ سسٹم سے نیٹ ورک پر ایک کامیاب استحصال کے نتیجے میں کرنل کریش ہو سکتا ہے۔


Kernel code sometimes contains security bugs.

کرنل کوڈ میں بعض اوقات سیکیورٹی کیڑے شامل ہوتے ہیں۔


Because such responses should not involve information that resides at the transport layer or above, we are limited to the manipulation of network layer headers.

چونکہ اس طرح کے جوابات میں وہ معلومات شامل نہیں ہونی چاہئیں جو ٹرانسپورٹ لیئر یا اس سے اوپر موجود ہیں، اس لیے ہم نیٹ ورک لیئر ہیڈرز کی ہیرا پھیری تک محدود ہیں۔


A filtering operation conducted by a device such as a firewall or router to block the source IP address of an attacker.

ایک فلٹرنگ آپریشن جو کسی ڈیوائس جیسے فائر وال یا روٹر کے ذریعے کیا جاتا ہے تاکہ حملہ آور کے سورس آئی پی ایڈریس کو روکا جا سکے۔


Reconfiguration of a routing protocol to deny the ability of an attacker to route packets to an intended target.

ایک روٹنگ پروٹوکول کی دوبارہ تشکیل تاکہ حملہ آور کو پیکٹوں کو مطلوبہ ہدف تک روٹ کرنے کی صلاحیت سے انکار کیا جا سکے۔


Applying thresholding logic to the amount of traffic that is allowed to pass through a firewall or router based on utilized bandwidth.

استعمال شدہ بینڈوڈتھ کی بنیاد پر فائر وال یا روٹر سے گزرنے کی اجازت دی جانے والی ٹریفک کی مقدار پر تھریشولڈنگ منطق کا اطلاق۔


After an attack is detected from a particular IP address, you can use the following iptables rules as a network layer response.

کسی خاص آئی پی ایڈریس سے حملے کا پتہ چلنے کے بعد، آپ نیٹ ورک لیئر کے جواب کے طور پر درج ذیل آئی پی ٹیبلز کے قواعد استعمال کر سکتے ہیں۔


These rules are added to the INPUT, OUTPUT, and FORWARD chains; they block all communications to or from the IP address.

یہ قواعد INPUT، OUTPUT، اور FORWARD چینز میں شامل کیے گئے ہیں؛ وہ آئی پی ایڈریس سے یا اس سے تمام مواصلات کو روکتے ہیں۔


In the context of the TCP connect() scan, the scanner sends both the SYN and the ending ACK packet for each scanned port.

ٹی سی پی کنیکٹ() اسکین کے تناظر میں، سکینر ہر اسکین شدہ پورٹ کے لیے SYN اور اختتامی ACK پیکٹ دونوں بھیجتا ہے۔


Any normal user can scan a remote system in this mode with Nmap; no special privileges are required.

کوئی بھی عام صارف اس موڈ میں این میپ کے ساتھ ریموٹ سسٹم کو اسکین کر سکتا ہے؛ کسی خاص مراعات کی ضرورت نہیں ہے۔


Below are some of the iptables log messages displayed from a SYN scan along with the Nmap output.

نیچے SYN اسکین سے ظاہر ہونے والے کچھ iptables لاگ پیغامات ہیں جو این میپ آؤٹ پٹ کے ساتھ ہیں۔


You can see that the http and https ports are open, and the options portion of the SYN packet contains a substantial number of options.

آپ دیکھ سکتے ہیں کہ http اور https پورٹس کھلی ہیں، اور SYN پیکٹ کا آپشن حصہ کافی تعداد میں اختیارات پر مشتمل ہے۔


A SYN or half-open scan is similar to a connect() scan in that the scanner sends a SYN packet to each TCP port.

SYN یا ہاف اوپن اسکین کنیکٹ() اسکین کی طرح ہے اس لحاظ سے کہ سکینر ہر ٹی سی پی پورٹ پر SYN پیکٹ بھیجتا ہے۔


However, the scanning system never completes the three-way handshake because it deliberately fails to return the ACK packet.

تاہم، اسکیننگ سسٹم کبھی بھی تین طرفہ ہینڈ شیک مکمل نہیں کرتا ہے کیونکہ یہ جان بوجھ کر ACK پیکٹ واپس کرنے میں ناکام رہتا ہے۔


Therefore, a SYN scan is also known as a half-open scan because three-way handshakes are never given a chance to gracefully complete.

لہذا، SYN اسکین کو ہاف اوپن اسکین کے طور پر بھی جانا جاتا ہے کیونکہ تین طرفہ ہینڈ شیک کو کبھی بھی آسانی سے مکمل کرنے کا موقع نہیں دیا جاتا ہے۔


A SYN scan cannot be accomplished with the connect() system call because that call invokes the vanilla TCP stack code.

SYN اسکین کو کنیکٹ() سسٹم کال کے ساتھ انجام نہیں دیا جا سکتا کیونکہ وہ کال وینیلا ٹی سی پی اسٹیک کوڈ کو طلب کرتی ہے۔


Nmap uses a raw socket to manually build the TCP SYN packets used within its SYN scan mode (-sS), the default scanning mode for privileged users.

این میپ اپنے SYN اسکین موڈ (-sS) کے اندر استعمال ہونے والے TCP SYN پیکٹس کو دستی طور پر بنانے کے لیے ایک خام ساکٹ کا استعمال کرتا ہے، جو کہ مراعات یافتہ صارفین کے لیے ڈیفالٹ اسکیننگ موڈ ہے۔


Because the characteristics of these packets are determined by Nmap directly, they differ significantly from TCP SYN packets that the stack would normally have generated.

چونکہ ان پیکٹوں کی خصوصیات کا تعین براہ راست این میپ کے ذریعے کیا جاتا ہے، اس لیے وہ ٹی سی پی SYN پیکٹوں سے نمایاں طور پر مختلف ہیں جو اسٹیک عام طور پر تیار کرتا ہے۔


If the remote host responds with a SYN/ACK, then the local TCP stack on the scanning system receives the SYN/ACK.

اگر ریموٹ ہوسٹ SYN/ACK کے ساتھ جواب دیتا ہے، تو اسکیننگ سسٹم پر موجود مقامی ٹی سی پی اسٹیک SYN/ACK وصول کرتا ہے۔


Hence, the scanner’s local stack sends a RST back to the target system, because the SYN/ACK appears to be unsolicited.

لہذا، سکینر کا مقامی اسٹیک ہدف کے نظام کو RST واپس بھیجتا ہے، کیونکہ SYN/ACK غیر مطلوبہ معلوم ہوتا ہے۔


You can stop this behavior on the scanning system by adding the following iptables rule to the OUTPUT chain.

آپ اس رویے کو اسکیننگ سسٹم پر درج ذیل iptables قاعدہ کو آؤٹ پٹ چین میں شامل کرکے روک سکتے ہیں۔


Displayed above in bold are both the window size and the options portion of the TCP header.

اوپر بولڈ میں ٹی سی پی ہیڈر کا ونڈو سائز اور آپشنز کا حصہ دونوں دکھائے گئے ہیں۔


The only thing Nmap is interested in is whether the port is open, closed, or filtered on the remote host.

این میپ صرف اس بات میں دلچسپی رکھتا ہے کہ آیا پورٹ ریموٹ ہوسٹ پر کھلا ہے، بند ہے یا فلٹر کیا گیا ہے۔


For versions of Nmap in the 3.x series, no TCP options are included within SYN packets used to scan remote systems.

این میپ کے 3.x سیریز کے ورژن کے لیے، ریموٹ سسٹمز کو اسکین کرنے کے لیے استعمال ہونے والے SYN پیکٹس میں کوئی TCP آپشن شامل نہیں ہیں۔


For recent versions of Nmap, the Maximum Segment Size (MSS) value is included within SYN packets that it sends.

این میپ کے حالیہ ورژنز کے لیے، زیادہ سے زیادہ سیگمنٹ سائز (MSS) کی قدر ان SYN پیکٹس میں شامل ہے جو یہ بھیجتا ہے۔


If we run a SYN scan now against the iptablesfw system, the same ports that we saw from the connect() scan are reported as open.

اگر ہم اب iptablesfw سسٹم کے خلاف SYN اسکین چلاتے ہیں، تو وہی پورٹس جو ہم نے کنیکٹ() اسکین سے دیکھے تھے، کھلے ہوئے رپورٹ کیے جاتے ہیں۔


The FIN, XMAS, and NULL scans operate on the principle that any TCP stack should respond in a particular way if a surprise TCP packet is received.

FIN، XMAS، اور NULL اسکین اس اصول پر کام کرتے ہیں کہ اگر کوئی سرپرائز ٹی سی پی پیکٹ موصول ہوتا ہے تو کوئی بھی ٹی سی پی اسٹیک ایک خاص طریقے سے جواب دے گا۔


Because a surprise FIN packet is not part of any legitimate TCP connection, all of the FIN packets are matched against the INVALID state rule.

چونکہ ایک سرپرائز FIN پیکٹ کسی بھی جائز ٹی سی پی کنکشن کا حصہ نہیں ہے، اس لیے تمام FIN پیکٹس کو INVALID اسٹیٹ رول کے خلاف ملایا جاتا ہے۔


Before installing psad, you need to download the latest version.

psad انسٹال کرنے سے پہلے، آپ کو تازہ ترین ورژن ڈاؤن لوڈ کرنے کی ضرورت ہے۔


All programs released on http://www.cipherdyne.org, including psad, are bundled with an installation program.

http://www.cipherdyne.org پر جاری کردہ تمام پروگرام، بشمول psad، ایک تنصیب پروگرام کے ساتھ بنڈل ہیں۔


Once you download the tarball, it is a good idea to verify both the MD5 sum and the GnuPG signature.

ایک بار جب آپ ٹاربال ڈاؤن لوڈ کر لیتے ہیں، تو MD5 سم اور GnuPG دستخط دونوں کی تصدیق کرنا ایک اچھا خیال ہے۔


You can find my GnuPG public key at http://www.cipherdyne.org/public_key.

آپ میری GnuPG عوامی کلید http://www.cipherdyne.org/public_key پر تلاش کر سکتے ہیں۔


From a security perspective, it is more important to verify the GnuPG signature.

سیکیورٹی کے نقطہ نظر سے، GnuPG دستخط کی تصدیق کرنا زیادہ اہم ہے۔


The install.pl script will prompt you for several pieces of input.

install.pl اسکرپٹ آپ کو ان پٹ کے کئی ٹکڑوں کے لیے اشارہ کرے گا۔


You can either manually enter information or use the defaults.

آپ یا تو دستی طور پر معلومات درج کر سکتے ہیں یا ڈیفالٹس استعمال کر سکتے ہیں۔


You can also install psad as an RPM for Linux distributions.

آپ psad کو لینکس ڈسٹری بیوشنز کے لیے RPM کے طور پر بھی انسٹال کر سکتے ہیں۔


Using one of these installation methods may make better sense for your particular Linux system.

ان تنصیب کے طریقوں میں سے کسی ایک کا استعمال آپ کے مخصوص لینکس سسٹم کے لیے بہتر ہو سکتا ہے۔


A successful installation of psad on Linux will result in the creation of several new files and directories.

لینکس پر psad کی کامیاب تنصیب کے نتیجے میں کئی نئی فائلوں اور ڈائریکٹریوں کی تخلیق ہوگی۔


Perl is the programming language used to develop the main psad daemon.

Perl وہ پروگرامنگ زبان ہے جو psad کے مرکزی ڈیمون کو تیار کرنے کے لیے استعمال ہوتی ہے۔


Three system daemons make up psad: psad, kmsgsd, and psadwatchd.

تین سسٹم ڈیمون psad بناتے ہیں: psad, kmsgsd، اور psadwatchd.


The install.pl program can also merge existing psad configuration values into the new configuration files.

install.pl پروگرام موجودہ psad کنفیگریشن ویلیوز کو نئی کنفیگریشن فائلوں میں ضم بھی کر سکتا ہے۔


When psad runs, its main operational directory is /var/log/psad.

جب psad چلتا ہے، تو اس کی بنیادی آپریشنل ڈائرکٹری /var/log/psad ہے۔


Once you’ve installed psad, it’s time to fire it up.

ایک بار جب آپ نے psad انسٹال کر لیا ہے، تو اسے چلانے کا وقت آگیا ہے۔


Run-time activities such as attack detection and passive OS fingerprinting are discussed in the next two chapters.

رن ٹائم سرگرمیاں جیسے حملے کا پتہ لگانا اور غیر فعال OS فنگر پرنٹنگ اگلے دو ابواب میں زیر بحث ہیں۔


Starting and Stopping psad Initialization scripts bundled with psad are suitable for Red Hat, Fedora, Slackware, Debian, Mandrake, and Gentoo Linux systems.

psad کے ساتھ بنڈل کیے گئے psad انیشیئلائزیشن اسکرپٹ Red Hat, Fedora, Slackware, Debian, Mandrake، اور Gentoo لینکس سسٹمز کے لیے موزوں ہیں۔


When psad is started via the init script, three daemons are also started.

جب psad کو init اسکرپٹ کے ذریعے شروع کیا جاتا ہے، تو تین ڈیمون بھی شروع کیے جاتے ہیں۔


The purpose of kmsgsd is to read all iptables log messages.

kmsgsd کا مقصد تمام iptables لاگ پیغامات کو پڑھنا ہے۔


If any daemon is started manually from the command line, it first checks to see if another instance is running.

اگر کوئی ڈیمون کمانڈ لائن سے دستی طور پر شروع کیا جاتا ہے، تو یہ سب سے پہلے یہ دیکھنے کے لیے چیک کرتا ہے کہ آیا کوئی اور مثال چل رہی ہے۔


CGI scripts that it executes) most likely runs as a user without sufficient permissions to read the /etc/shadow file, but an adversary doesn’t necessarily know this before trying to request the file.

سی جی آئی اسکرپٹس جو یہ چلاتا ہے) زیادہ تر ایک ایسے صارف کے طور پر چلتا ہے جس کے پاس /etc/shadow فائل کو پڑھنے کی مناسب اجازت نہیں ہے، لیکن ایک مخالف کو فائل کی درخواست کرنے کی کوشش کرنے سے پہلے ضروری نہیں کہ یہ معلوم ہو۔


Snort is looking for the attempt to read the file.

سنورٹ فائل کو پڑھنے کی کوشش تلاش کر رہا ہے۔


In order to make iptables generate a log message when the /etc/shadow string is seen over an established TCP connection on port 80 in the FORWARD chain, you can use the following rule:

آئی پی ٹیبلز کو لاگ پیغام بنانے کے لیے جب /etc/shadow سٹرنگ کو فارورڈ چین میں پورٹ 80 پر قائم کردہ ٹی سی پی کنکشن پر دیکھا جاتا ہے، تو آپ درج ذیل اصول استعمال کر سکتے ہیں:


Buffer Overflow Exploits A buffer overflow exploit is an attack that leverages a programming error made in an application’s source code whereby the size of a buffer is insufficient to accommodate the amount of data copied into it; hence the term overflow is used when adjacent memory locations are overwritten.

بفر اوور فلو ایکسپلائٹ ایک ایسا حملہ ہے جو کسی ایپلی کیشن کے سورس کوڈ میں کی گئی پروگرامنگ غلطی کا فائدہ اٹھاتا ہے جس کے ذریعے بفر کا سائز اس میں کاپی کیے گئے ڈیٹا کی مقدار کو ایڈجسٹ کرنے کے لیے ناکافی ہوتا ہے۔ اس لیے اصطلاح اوور فلو اس وقت استعمال ہوتی ہے جب ملحقہ میموری لوکیشنز کو اوور رائٹ کیا جاتا ہے۔


For stack-based buffer overflows, a successful exploit overwrites the function return address (which is on the stack) so that it points into code provided by the attacker.

اسٹیک پر مبنی بفر اوور فلو کے لیے، ایک کامیاب ایکسپلائٹ فنکشن ریٹرن ایڈریس (جو اسٹیک پر ہے) کو اوور رائٹ کرتا ہے تاکہ یہ حملہ آور کے ذریعہ فراہم کردہ کوڈ کی طرف اشارہ کرے۔


This, in turn, allows the attacker to control the execution of the process thenceforth.

اس کے نتیجے میں، حملہ آور کو اس کے بعد سے عمل کے عمل کو کنٹرول کرنے کی اجازت ملتی ہے۔


Another class of buffer overflow attacks applies to memory regions that are dynamically allocated from the heap.

بفر اوور فلو حملوں کی ایک اور کلاس میموری کے ان علاقوں پر لاگو ہوتی ہے جو ہیپ سے متحرک طور پر مختص کیے جاتے ہیں۔


Buffer overflow vulnerabilities are commonly introduced into C or C++ applications through improper use of certain library functions that do not automatically implement bounds checking.

بفر اوور فلو کی کمزوریاں عام طور پر C یا C++ ایپلی کیشنز میں بعض لائبریری فنکشنز کے غلط استعمال کے ذریعے متعارف کروائی جاتی ہیں جو خود بخود حدود کی جانچ کو نافذ نہیں کرتے ہیں۔


Examples of such functions include strcpy(), strcat(), sprintf(), gets(), and scanf(), and 3 The Snort community refers to its signatures as rules, but the intrusion detection community also embraces the term signature as the mechanism for describing attacks to intrusion detection systems.

ایسے فنکشنز کی مثالوں میں strcpy(), strcat(), sprintf(), gets(), اور scanf() شامل ہیں، اور 3 سنورٹ کمیونٹی اپنے دستخطوں کو قواعد کے طور پر حوالہ دیتی ہے، لیکن مداخلت کا پتہ لگانے والی کمیونٹی بھی اصطلاح دستخط کو مداخلت کا پتہ لگانے والے نظاموں پر حملوں کو بیان کرنے کے طریقہ کار کے طور پر قبول کرتی ہے۔


Application Layer Attacks and Defense75 mismanagement of memory regions allocated from the heap via functions such as malloc() and calloc().

ایپلیکیشن لیئر حملے اور دفاع 75 میموری کے ان علاقوں کا غلط انتظام جو ہیپ سے فنکشنز جیسے malloc() اور calloc() کے ذریعے مختص کیے گئے ہیں۔


NOTEYou will find an excellent description of how to write buffer overflow attacks in the widely referenced paper “Smashing the Stack for Fun and Profit,” by Aleph One (see http://insecure.org/stf/smashstack.html).

نوٹ آپ کو اس بات کی بہترین وضاحت ملے گی کہ الیف ون کے ذریعہ وسیع پیمانے پر حوالہ کردہ مقالے “Smashing the Stack for Fun and Profit” میں بفر اوور فلو حملے کیسے لکھے جائیں (دیکھیں http://insecure.org/stf/smashstack.html).


Jon Erickson’s Hacking: The Art of Exploitation (No Starch Press, 2007) is another excellent source of technical infor- mation on developing buffer overflow exploits.

جون ایرکسن کی ہیکنگ: دی آرٹ آف ایکسپلائٹیشن (نو اسٹارچ پریس، 2007) بفر اوور فلو ایکسپلائٹ تیار کرنے کے بارے میں تکنیکی معلومات کا ایک اور بہترین ذریعہ ہے۔


In the context of network-based attacks, there is no generic way to detect buffer overflow attempts.

نیٹ ورک پر مبنی حملوں کے تناظر میں، بفر اوور فلو کی کوششوں کا پتہ لگانے کا کوئی عام طریقہ نہیں ہے۔


However, for applications that transmit data over encrypted channels, an attack that fills a buffer with, say, 50 instances of the unencrypted character A, would be awfully suspicious.

تاہم، ان ایپلی کیشنز کے لیے جو خفیہ کردہ چینلز پر ڈیٹا منتقل کرتی ہیں، ایک ایسا حملہ جو بفر کو، مثال کے طور پر، غیر خفیہ کردہ حرف A کی 50 مثالوں سے بھر دیتا ہے، بہت مشکوک ہوگا۔


If such an attack exists and it is shared in the underground, it may be worth adding an iptables rule to look for such behavior.

اگر ایسا حملہ موجود ہے اور اسے زیر زمین شیئر کیا جاتا ہے، تو اس طرح کے رویے کو تلاش کرنے کے لیے ایک آئی پی ٹیبلز قاعدہ شامل کرنا مناسب ہو سکتا ہے۔


For example, the following rule would be used for SSL communications.

مثال کے طور پر، درج ذیل قاعدہ SSL مواصلات کے لیے استعمال کیا جائے گا۔


A حروف کی سٹرنگ پر توجہ دیں:


Because exploit code can change the filler character A to any other char- acter, the above rule is easily circumvented by a trivial modification to the exploit code.

کیونکہ ایکسپلائٹ کوڈ فلر کریکٹر A کو کسی دوسرے کریکٹر میں تبدیل کر سکتا ہے، مذکورہ بالا قاعدے کو ایکسپلائٹ کوڈ میں معمولی ترمیم کے ذریعے آسانی سے نظرانداز کیا جا سکتا ہے۔


However, exploit code is sometimes used by automated worms without modification, so the above strategy can be effective in some cases.

تاہم، ایکسپلائٹ کوڈ بعض اوقات بغیر کسی ترمیم کے خودکار کیڑوں کے ذریعے استعمال کیا جاتا ہے، اس لیے مندرجہ بالا حکمت عملی بعض صورتوں میں مؤثر ہو سکتی ہے۔


While the Snort signature set contains many signatures for overflow attacks, these signatures usually detect attacks in ways that do not require seeing specific filler bytes.

جبکہ سنورٹ دستخط سیٹ میں اوور فلو حملوں کے لیے بہت سے دستخط شامل ہیں، یہ دستخط عام طور پر ان طریقوں سے حملوں کا پتہ لگاتے ہیں جن میں مخصوص فلر بائٹس کو دیکھنے کی ضرورت نہیں ہوتی ہے۔


The real TCP stack has more options in the SYN packets.

حقیقی ٹی سی پی اسٹیک میں SYN پیکٹس میں زیادہ اختیارات ہیں۔


Nmap can set the TTL value to whatever it wants.

Nmap TTL ویلیو کو اپنی مرضی کے مطابق سیٹ کر سکتا ہے۔


The TCP window size is set by Nmap during the SYN scan.

SYN اسکین کے دوران TCP ونڈو کا سائز Nmap کے ذریعے سیٹ کیا جاتا ہے۔


In contrast, the real TCP stack always initiates TCP connections with a window size of 5840.

اس کے برعکس، اصلی ٹی سی پی اسٹیک ہمیشہ 5840 کے ونڈو سائز کے ساتھ ٹی سی پی کنکشن شروع کرتا ہے۔


The options portion of the TCP header is shorter in the Nmap SYN scan.

Nmap SYN اسکین میں TCP ہیڈر کا اختیارات والا حصہ چھوٹا ہے۔


Most real TCP stacks send multiple options.

زیادہ تر حقیقی ٹی سی پی اسٹیکس متعدد اختیارات بھیجتے ہیں۔


The Nmap FIN, XMAS, and NULL scans appear quite similar.

Nmap FIN, XMAS، اور NULL اسکین کافی ملتے جلتے نظر آتے ہیں۔


The only significant difference between these scan types is the combination of TCP flags used.

ان اسکین اقسام کے درمیان واحد اہم فرق استعمال ہونے والے TCP جھنڈوں کا مجموعہ ہے۔


You can initiate the FIN, XMAS, and NULL scans with the respective command-line arguments to Nmap.

آپ Nmap کے لیے متعلقہ کمانڈ لائن دلائل کے ساتھ FIN, XMAS، اور NULL اسکین شروع کر سکتے ہیں۔


It is normal to find a TCP packet with the FIN flag set in legitimate TCP communications.

جائز ٹی سی پی مواصلات میں FIN فلیگ کے ساتھ ایک ٹی سی پی پیکٹ تلاش کرنا معمول کی بات ہے۔


Therefore, it is important to use Netfilter’s connection tracking mechanism.

لہذا، Netfilter کے کنکشن ٹریکنگ میکانزم کا استعمال کرنا ضروری ہے۔


Unexpected FIN packets match the Netfilter INVALID state.

غیر متوقع FIN پیکٹ Netfilter INVALID حالت سے مماثل ہیں۔


As you can see, the FIN scan did not escape psad’s watchful eye.

جیسا کہ آپ دیکھ سکتے ہیں، FIN اسکین psad کی چوکس نظر سے بچ نہیں سکا۔


We see many log messages in the /var/log/psad/fwdata file.

ہم /var/log/psad/fwdata فائل میں بہت سے لاگ پیغامات دیکھتے ہیں۔


XMAS and NULL scans generate iptables log messages that are very similar.

XMAS اور NULL اسکین iptables لاگ پیغامات تیار کرتے ہیں جو بہت ملتے جلتے ہیں۔


Scans for UDP services don’t exhibit the same richness as scans for TCP services.

UDP سروسز کے لیے اسکین TCP سروسز کے لیے اسکین کی طرح امیر نہیں ہیں۔


We use the -sU option to scan the system running iptables.

ہم iptables چلانے والے سسٹم کو اسکین کرنے کے لیے -sU آپشن استعمال کرتے ہیں۔


Nmap infers this because it receives an ICMP Port Unreachable message.

Nmap اس کا اندازہ لگاتا ہے کیونکہ اسے ICMP پورٹ ناقابل رسائی پیغام موصول ہوتا ہے۔


psad assumes that such packets are only logged because they do not conform to the local security policy.

psad فرض کرتا ہے کہ ایسے پیکٹ صرف اس لیے لاگ کیے جاتے ہیں کیونکہ وہ مقامی سیکیورٹی پالیسی کے مطابق نہیں ہیں۔


Once psad determines that a suspicious event has taken place, it alerts the administrator.

ایک بار جب psad یہ طے کر لیتا ہے کہ کوئی مشکوک واقعہ پیش آیا ہے، تو یہ منتظم کو خبردار کرتا ہے۔


The LAND attack involves sending a TCP packet to a system with the source and destination IP addresses set to the same address.

LAND حملہ ایک TCP پیکٹ کو ایک سسٹم پر بھیجنے پر مشتمل ہے جس میں ماخذ اور منزل کے IP پتے ایک ہی پتے پر سیٹ کیے گئے ہیں۔


Psad detects the LAND attack by examining the SRC and DST fields in iptables log messages.

Psad iptables لاگ پیغامات میں SRC اور DST فیلڈز کا جائزہ لے کر LAND حملے کا پتہ لگاتا ہے۔


The iptables log message shows the source and destination IP addresses are identical.

iptables لاگ پیغام ظاہر کرتا ہے کہ ماخذ اور منزل کے IP پتے ایک جیسے ہیں۔


TCP port 0 traffic is not legitimate, and psad detects it.

TCP پورٹ 0 ٹریفک جائز نہیں ہے، اور psad اس کا پتہ لگاتا ہے۔


Nmap پورٹ 0 کو اسکین کر سکتا ہے، جو غیر معمولی ہے۔


The Snort rule ID 524 detects TCP packets sent to destination port 0.

Snort rule ID 524 منزل پورٹ 0 پر بھیجے گئے TCP پیکٹس کا پتہ لگاتا ہے۔


Packets with a zero TTL value are also considered suspicious.

صفر TTL ویلیو والے پیکٹس کو بھی مشکوک سمجھا جاتا ہے۔


The Naptha denial of service attack floods a system with SYN packets.

Naptha سروس سے انکار کا حملہ ایک سسٹم کو SYN پیکٹس سے بھر دیتا ہے۔


The Naptha tool uses a specific IP ID and TCP sequence number.

Naptha ٹول ایک مخصوص IP ID اور TCP سیکوئنس نمبر استعمال کرتا ہے۔


Source routing allows attackers to route packets through inaccessible networks.

سورس روٹنگ حملہ آوروں کو ناقابل رسائی نیٹ ورکس کے ذریعے پیکٹ روٹ کرنے کی اجازت دیتا ہے۔


Psad can detect loose source routing attempts.

Psad ڈھیلے سورس روٹنگ کی کوششوں کا پتہ لگا سکتا ہے۔


Windows Messenger pop-up spam is a common problem.

ونڈوز میسنجر پاپ اپ سپیم ایک عام مسئلہ ہے۔


Psad can detect Windows pop-up spam attempts.

Psad ونڈوز پاپ اپ سپیم کی کوششوں کا پتہ لگا سکتا ہے۔


Psad uses signature matching to identify malicious traffic.

Psad بدنیتی پر مبنی ٹریفک کی شناخت کے لیے دستخطوں کی مماثلت کا استعمال کرتا ہے۔


The DShield system collects and reports security event data.

DShield سسٹم سیکیورٹی ایونٹ ڈیٹا جمع کرتا ہے اور رپورٹ کرتا ہے۔


Psad can automatically submit scan data to DShield.

Psad خود بخود اسکین ڈیٹا DShield کو جمع کر سکتا ہے۔


DShield reporting is not enabled by default in psad.

DShield رپورٹنگ psad میں بطور ڈیفالٹ فعال نہیں ہے۔


The psad --Status command provides status information.

psad --Status کمانڈ اسٹیٹس کی معلومات فراہم کرتی ہے۔


The output of psad --Status includes signature matches and attackers.

psad --Status کے آؤٹ پٹ میں دستخطوں کی مماثلت اور حملہ آور شامل ہیں۔


You can monitor your system's security using psad.

آپ psad کا استعمال کرتے ہوئے اپنے سسٹم کی سیکیورٹی کی نگرانی کر سکتے ہیں۔


If set to N, psad will only generate alerts when the danger level associated with an IP address increases.

اگر N پر سیٹ کیا جائے تو، psad صرف اس وقت الرٹ تیار کرے گا جب کسی IP ایڈریس سے منسلک خطرے کی سطح میں اضافہ ہوتا ہے۔


This variable defines a substring to match against iptables log messages to see if any of the messages were generated by an iptables rule that completely characterizes a Snort rule.

یہ متغیر ایک سبسٹرنگ کی وضاحت کرتا ہے جو iptables لاگ پیغامات کے خلاف مماثلت رکھتا ہے تاکہ یہ دیکھا جا سکے کہ آیا کوئی بھی پیغام iptables کے اس اصول سے تیار کیا گیا ہے جو مکمل طور پر Snort کے اصول کی خصوصیت رکھتا ہے۔


Such iptables rules are produced by fwsnort (see Chapters 9 and 10), and they generally contain a logging prefix of SID{n}, where {n} is the Snort ID number derived from the original Snort rule.

اس طرح کے iptables کے اصول fwsnort کے ذریعے تیار کیے جاتے ہیں (باب 9 اور 10 دیکھیں)، اور ان میں عام طور پر SID{n} کا لاگنگ سابقہ شامل ہوتا ہے، جہاں {n} اصل Snort کے اصول سے ماخوذ Snort ID نمبر ہے۔


The default value for SNORT_SID_STR is just SID.

SNORT_SID_STR کی ڈیفالٹ ویلیو صرف SID ہے۔


If set to Y, this variable transforms psad from a passively monitoring daemon into a program that actively responds to attacks.

اگر Y پر سیٹ کیا جائے تو، یہ متغیر psad کو غیر فعال طور پر مانیٹرنگ کرنے والے ڈیمون سے ایک ایسے پروگرام میں تبدیل کرتا ہے جو حملوں کا فعال طور پر جواب دیتا ہے۔


By dynamically reconfiguring the local iptables policy to block an offending IP address.

مقامی iptables پالیسی کو متحرک طور پر دوبارہ ترتیب دے کر کسی مجرم IP ایڈریس کو بلاک کرنے کے لیے۔


Chapter 8 discusses the implications of this feature, as well as how to use it effectively.

باب 8 اس خصوصیت کے مضمرات کے ساتھ ساتھ اسے مؤثر طریقے سے استعمال کرنے کے طریقہ پر بھی بحث کرتا ہے۔


The information that psad collects about port scans and other suspicious activities is written to the /var/log/psad directory.

psad جو معلومات پورٹ اسکین اور دیگر مشکوک سرگرمیوں کے بارے میں جمع کرتا ہے وہ /var/log/psad ڈائرکٹری میں لکھی جاتی ہیں۔


For every IP address that reaches a danger level of one, a new directory /var/log/psad/ip is created.

ہر IP ایڈریس کے لیے جو خطرے کی سطح ایک تک پہنچتا ہے، ایک نئی ڈائرکٹری /var/log/psad/ip بنائی جاتی ہے۔


Various files stored within this directory include the latest email alert, whois output, signature matches, danger level, and packet counters.

اس ڈائرکٹری کے اندر محفوظ کردہ مختلف فائلوں میں تازہ ترین ای میل الرٹ، whois آؤٹ پٹ، دستخط میچ، خطرے کی سطح، اور پیکٹ کاؤنٹر شامل ہیں۔


At start time, psad normally removes any existing /var/log/psad/ip directories, but you can have psad import all data from these old directories by setting IMPORT_OLD_SCANS to Y.

شروع کے وقت، psad عام طور پر کسی بھی موجودہ /var/log/psad/ip ڈائریکٹریز کو ہٹا دیتا ہے، لیکن آپ psad کو IMPORT_OLD_SCANS کو Y پر سیٹ کر کے ان پرانی ڈائریکٹریز سے تمام ڈیٹا درآمد کروا سکتے ہیں۔


This feature allows you to restart psad or to reboot the entire system without losing scan data from the previous psad instance.

یہ خصوصیت آپ کو پچھلے psad مثال سے اسکین ڈیٹا کھوئے بغیر psad کو دوبارہ شروع کرنے یا پورے سسٹم کو دوبارہ شروع کرنے کی اجازت دیتی ہے۔


Set this variable to Y to allow psad to send scan data to the DShield distributed intrusion detection system.

psad کو DShield تقسیم شدہ مداخلت کا پتہ لگانے والے نظام کو اسکین ڈیٹا بھیجنے کی اجازت دینے کے لیے اس متغیر کو Y پر سیٹ کریں۔


Since scan information can be sensitive, you should be aware that when you pass your scan data to DShield, it is no longer in your control and is parsed into a relatively open database.

چونکہ اسکین کی معلومات حساس ہو سکتی ہیں، آپ کو معلوم ہونا چاہیے کہ جب آپ اپنا اسکین ڈیٹا DShield کو بھیجتے ہیں، تو یہ اب آپ کے کنٹرول میں نہیں رہتا اور اسے نسبتاً کھلے ڈیٹا بیس میں پارس کیا جاتا ہے۔


However, DShield allows people to gain a better understanding of things such as the most commonly attacked services and even which IP address is currently attacking the most systems.

تاہم، DShield لوگوں کو ان چیزوں کے بارے میں بہتر سمجھ حاصل کرنے کی اجازت دیتا ہے جیسے کہ سب سے زیادہ حملہ آور خدمات اور یہاں تک کہ کون سا IP ایڈریس اس وقت سب سے زیادہ سسٹمز پر حملہ کر رہا ہے۔


I highly recommend enabling this feature in psad, unless there is a strict requirement not to communicate scan information specifically to DShield.

میں psad میں اس خصوصیت کو فعال کرنے کی پرزور سفارش کرتا ہوں، جب تک کہ خاص طور پر DShield کو اسکین کی معلومات نہ دینے کی سخت ضرورت نہ ہو۔


The more people who enable this feature, the safer the Internet becomes for everyone.

جتنے زیادہ لوگ اس خصوصیت کو فعال کریں گے، انٹرنیٹ سب کے لیے اتنا ہی محفوظ ہو جائے گا۔


A key feature of many intrusion detection systems is the ability to filter out certain pieces of data that the administrator wants the IDS to completely ignore.

بہت سے مداخلت کا پتہ لگانے والے نظاموں کی ایک اہم خصوصیت ڈیٹا کے بعض حصوں کو فلٹر کرنے کی صلاحیت ہے جسے منتظم چاہتا ہے کہ IDS مکمل طور پر نظر انداز کرے۔


The IGNORE_PORTS variable instructs psad to ignore iptables log messages based on the destination port number and associated protocol (TCP or UDP).

IGNORE_PORTS متغیر psad کو منزل کے پورٹ نمبر اور منسلک پروٹوکول (TCP یا UDP) کی بنیاد پر iptables لاگ پیغامات کو نظر انداز کرنے کی ہدایت کرتا ہے۔


Port ranges and multiple port and protocol combinations are supported like so: IGNORE_PORTS udp/53, udp/5000, tcp/51000-61356;

پورٹ رینجز اور متعدد پورٹ اور پروٹوکول کے امتزاج اس طرح سپورٹ کیے جاتے ہیں: IGNORE_PORTS udp/53, udp/5000, tcp/51000-61356;


Firewalls and intrusion prevention systems generally approach security enforcement from opposite viewpoints.

فائر والز اور مداخلت سے بچاؤ کے نظام عام طور پر سیکیورٹی کے نفاذ کے لیے مخالف نقطہ نظر سے رجوع کرتے ہیں۔


Firewalls define the set of permissible traffic based upon a security policy.

فائر والز سیکیورٹی پالیسی کی بنیاد پر قابل اجازت ٹریفک کا مجموعہ متعین کرتی ہیں۔


In contrast, intrusion prevention systems define a set of impermissible network traffic.

اس کے برعکس، مداخلت سے بچاؤ کے نظام ناقابل اجازت نیٹ ورک ٹریفک کا ایک مجموعہ متعین کرتے ہیں۔


Firewalls are being engineered to have more application layer processing capability.

فائر والز کو زیادہ ایپلیکیشن لیئر پروسیسنگ کی صلاحیت کے لیے تیار کیا جا رہا ہے۔


The fwsnort project is focused on enhancing the ability of the Linux kernel.

fwsnort پروجیکٹ لینکس کرنل کی صلاحیت کو بڑھانے پر مرکوز ہے۔


By combining the power of the Snort signature language with the speed of the Linux kernel.

سنورٹ دستخطی زبان کی طاقت کو لینکس کرنل کی رفتار کے ساتھ ملا کر۔


Deploying fwsnort alongside another IDS/IPS is straightforward.

fwsnort کو دوسرے IDS/IPS کے ساتھ تعینات کرنا سیدھا ہے۔


In addition, because iptables is always inline to network traffic, it is rigorously tested for stability and speed.

مزید برآں، کیونکہ iptables ہمیشہ نیٹ ورک ٹریفک کے لیے ان لائن ہوتا ہے، اس لیے اس کی استحکام اور رفتار کے لیے سختی سے جانچ کی جاتی ہے۔


Intrusion detection systems themselves can be targeted with attacks.

مداخلت کا پتہ لگانے والے نظام خود حملوں کا نشانہ بن سکتے ہیں۔


For example, both real and faked attacks can be sent over the Tor network.

مثال کے طور پر، حقیقی اور جعلی دونوں حملے ٹور نیٹ ورک پر بھیجے جا سکتے ہیں۔


The defense-in-depth principle applies not only to conventional computer systems.

گہرائی میں دفاع کا اصول نہ صرف روایتی کمپیوٹر سسٹمز پر لاگو ہوتا ہے۔


Building features into an IDS that allow it to augment detection operations.

ایک IDS میں خصوصیات بنانا جو اسے پتہ لگانے کے عمل کو بڑھانے کی اجازت دیتا ہے۔


For example, the Snort IDS offers network layer defragmentation.

مثال کے طور پر، Snort IDS نیٹ ورک لیئر ڈیفراگمنٹیشن پیش کرتا ہے۔


This is useful because it allows Snort to apply the same defragmentation algorithm.

یہ کارآمد ہے کیونکہ یہ Snort کو وہی ڈیفراگمنٹیشن الگورتھم لاگو کرنے کی اجازت دیتا ہے۔


Fragmented attacks against the Linux system will be defragmented by Snort.

لینکس سسٹم کے خلاف ٹکڑے ٹکڑے حملوں کو Snort کے ذریعے ڈیفراگمنٹ کیا جائے گا۔


With fwsnort, network defragmentation is performed by using the Netfilter connection-tracking subsystem.

fwsnort کے ساتھ، نیٹ ورک ڈیفراگمنٹیشن نیٹ فلٹر کنکشن ٹریکنگ سب سسٹم کا استعمال کرتے ہوئے انجام دی جاتی ہے۔


Heavily used systems may lack available resources to deploy an additional user-land process.

زیادہ استعمال ہونے والے سسٹمز میں اضافی یوزر لینڈ عمل کو تعینات کرنے کے لیے دستیاب وسائل کی کمی ہو سکتی ہے۔


In the case of fwsnort, packet inspection takes place directly within the Linux kernel.

fwsnort کی صورت میں، پیکٹ کا معائنہ براہ راست لینکس کرنل کے اندر ہوتا ہے۔


Because the iptables signature policy built by fwsnort is always inline to network traffic.

کیونکہ fwsnort کے ذریعے بنایا گیا iptables دستخطی پالیسی ہمیشہ نیٹ ورک ٹریفک کے لیے ان لائن ہوتی ہے۔


If the Snort community develops a signature to detect attacks against this vulnerability, fwsnort can be configured to drop packets.

اگر Snort کمیونٹی اس کمزوری کے خلاف حملوں کا پتہ لگانے کے لیے ایک دستخط تیار کرتی ہے، تو fwsnort کو پیکٹ چھوڑنے کے لیے ترتیب دیا جا سکتا ہے۔


A DROP rule against the offending IP address in the PSAD_BLOCK_OUTPUT chain, so that packets originating from the local system never make it back to the attacker.

PSAD_BLOCK_OUTPUT چین میں مجرمانہ IP ایڈریس کے خلاف ایک ڈراپ رول، تاکہ مقامی نظام سے شروع ہونے والے پیکٹ کبھی بھی حملہ آور تک واپس نہ جائیں۔


Two DROP rules against the offending IP address in the PSAD_BLOCK_FORWARD chain that restrict packets originating from or destined for the offending IP address.

PSAD_BLOCK_FORWARD چین میں مجرمانہ IP ایڈریس کے خلاف دو ڈراپ رولز جو مجرمانہ IP ایڈریس سے شروع ہونے والے یا اس کے لیے مقصود پیکٹوں کو محدود کرتے ہیں۔


This way, if the iptables firewall protects a system on an inter- nal network, no attacker is able to connect with that system.

اس طرح، اگر iptables فائر وال ایک اندرونی نیٹ ورک پر ایک نظام کی حفاظت کرتا ہے، تو کوئی بھی حملہ آور اس نظام سے رابطہ قائم کرنے کے قابل نہیں ہے۔


For reference, the default IPT_AUTO_CHAIN{n} variables in the /etc/psad/ psad.conf file appear below:

حوالے کے لیے، /etc/psad/psad.conf فائل میں ڈیفالٹ IPT_AUTO_CHAIN{n} متغیرات ذیل میں ظاہر ہوتے ہیں:


Active Response Examples In this section, we’ll dive into a few juicy examples of using psad in active response mode, and we’ll show how it detects and blocks an IP address that is consistently scanning a Linux system that has iptables facilities enabled.

فعال ردعمل کی مثالیں اس حصے میں، ہم فعال ردعمل موڈ میں psad کے استعمال کی چند دلچسپ مثالوں میں غوطہ لگائیں گے، اور ہم دکھائیں گے کہ یہ کیسے ایک IP ایڈریس کا پتہ لگاتا ہے اور اسے بلاک کرتا ہے جو مسلسل ایک لینکس سسٹم کو اسکین کر رہا ہے جس میں iptables کی سہولیات فعال ہیں۔


See the standard network diagram in Figure 8-1 for all active response examples

تمام فعال ردعمل کی مثالوں کے لیے شکل 8-1 میں معیاری نیٹ ورک ڈایاگرام دیکھیں۔


The two iptables rules in this case are created through the use of the both directive in the corresponding IPT_AUTO_CHAIN variable (i.e., only a single IPT_AUTO_CHAIN variable is required to create the two rules).

اس صورت میں دو iptables رولز متعلقہ IPT_AUTO_CHAIN متغیر میں دونوں ہدایت کے استعمال کے ذریعے بنائے گئے ہیں (یعنی، دو رولز بنانے کے لیے صرف ایک IPT_AUTO_CHAIN متغیر کی ضرورت ہے۔)


As usual, the default iptables policy implemented by the iptablesfw script from “Default iptables Policy” on page 20 is implemented on the firewall.

ہمیشہ کی طرح، صفحہ 20 پر “ڈیفالٹ iptables پالیسی” سے iptablesfw اسکرپٹ کے ذریعے لاگو کردہ ڈیفالٹ iptables پالیسی فائر وال پر لاگو کی جاتی ہے۔


Given the highly configurable nature of psad, the active response examples in this section can be made rigorous only if we agree upon a specific set of values for the configuration of psad.

psad کی انتہائی قابل ترتیب نوعیت کو دیکھتے ہوئے، اس حصے میں فعال ردعمل کی مثالیں صرف اس صورت میں سخت بنائی جا سکتی ہیں جب ہم psad کی ترتیب کے لیے اقدار کے ایک مخصوص سیٹ پر متفق ہوں۔


Although not every configuration vari- able in /etc/psad/psad.conf is listed, the relevant active response and danger level variables are as follows.

اگرچہ /etc/psad/psad.conf میں ہر ترتیب متغیر درج نہیں ہے، متعلقہ فعال ردعمل اور خطرے کی سطح کے متغیرات درج ذیل ہیں۔


psad will not permanently block an attacker by virtue of the AUTO_BLOCK_TIMEOUT variable (it will only add the blocking rules against an attacker for 3,600 seconds—one hour).

psad AUTO_BLOCK_TIMEOUT متغیر کی وجہ سے حملہ آور کو مستقل طور پر بلاک نہیں کرے گا (یہ صرف 3,600 سیکنڈ—ایک گھنٹہ—کے لیے حملہ آور کے خلاف بلاکنگ رولز شامل کرے گا۔)


Secondly, an attacker must reach at iptables Firewall Hostname: iptablesfw 71.157. X. X (eth0) 192.168.10.1 (eth1) Internet External Scanner Hostname: ext_scanner 144.202. X. X External Webserver Hostname: ext_web 12.34. X. X External DNS Server Hostname: ext_dns 234.50. X. X LAN 192.168.10.0/24 Webserver Hostname: webserver 192.168.10.3 DNS Server Hostname: dnsserver 192.168.10.4 Internal Scanner Hostname: int_scanne r 192.168.10.200 LAN Desktop Hostname: lan_client 192.168.10.50 Active Response with psad139 least DANGER_LEVEL3 before a blocking rule is instantiated; this implies that no action will be taken for scans that do not involve at least 150 packets, trip a signature with psad_dl set to 3 in /etc/psad/signatures, or have an automati- cally assigned danger level of at least 3 in /etc/psad/auto_dl.

دوم، ایک حملہ آور کو iptables فائر وال ہوسٹ نام تک پہنچنا چاہیے: iptablesfw 71.157۔ X. X (eth0) 192.168.10.1 (eth1) انٹرنیٹ بیرونی سکینر ہوسٹ نام: ext_scanner 144.202۔ X. X بیرونی ویب سرور ہوسٹ نام: ext_web 12.34۔ X. X بیرونی DNS سرور ہوسٹ نام: ext_dns 234.50۔ X. X LAN 192.168.10.0/24 ویب سرور ہوسٹ نام: ویب سرور 192.168.10.3 DNS سرور ہوسٹ نام: dnsserver 192.168.10.4 اندرونی سکینر ہوسٹ نام: int_scanne r 192.168.10.200 LAN ڈیسک ٹاپ ہوسٹ نام: lan_client 192.168.10.50 psad139 کے ساتھ فعال ردعمل کم از کم DANGER_LEVEL3 بلاکنگ رول کے انسٹینشیٹ ہونے سے پہلے؛ اس کا مطلب ہے کہ ان اسکینز کے لیے کوئی کارروائی نہیں کی جائے گی جن میں کم از کم 150 پیکٹ شامل نہیں ہیں، /etc/psad/signatures میں 3 پر سیٹ psad_dl کے ساتھ ایک دستخط ٹرپ کریں، یا /etc/psad/auto_dl میں کم از کم 3 کی خود بخود تفویض کردہ خطرے کی سطح ہو۔


Finally, because ENABLE_AUTO_IDS_REGEX is set to N, psad will not require the filtering policy to generate any special logging prefixes in order for an IP address to be blocked.

آخر میں، کیونکہ ENABLE_AUTO_IDS_REGEX کو N پر سیٹ کیا گیا ہے، psad کو IP ایڈریس کو بلاک کرنے کے لیے فلٹرنگ پالیسی کی ضرورت نہیں ہوگی کہ وہ کوئی خاص لاگنگ سابقہ تیار کرے۔


psad detects the SYN scan and generates the following two syslog mes- sages, which indicate that the 144.202. X. X IP address has been blocked for 3,600 seconds and that 237 TCP packets in the range of ports from 2 to 32787 were monitored in this particular checking interval:

psad SYN اسکین کا پتہ لگاتا ہے اور درج ذیل دو syslog پیغامات تیار کرتا ہے، جو اس بات کی نشاندہی کرتے ہیں کہ 144.202۔ X. X IP ایڈریس کو 3,600 سیکنڈ کے لیے بلاک کر دیا گیا ہے اور 2 سے 32787 تک کے پورٹس کی رینج میں 237 TCP پیکٹس کی اس خاص چیکنگ وقفے میں نگرانی کی گئی:


psad has indeed blocked the attacker by adding blocking rules into the custom psad chains (defined by the IPT_AUTO_CHAIN{n} variables as discussed earlier), and instead of rummaging through the output of iptables-v -n -L, psad makes it easy for you to see the new blocking rules in the psad chains:

psad نے واقعی حملہ آور کو کسٹم psad چینز میں بلاکنگ رولز شامل کرکے بلاک کر دیا ہے (جیسا کہ پہلے بحث کی گئی ہے IPT_AUTO_CHAIN{n} متغیرات کے ذریعے متعین کیا گیا ہے)، اور iptables-v -n -L کے آؤٹ پٹ کے ذریعے گھومنے کے بجائے، psad آپ کے لیے psad چینز میں نئے بلاکنگ رولز دیکھنا آسان بناتا ہے:


From a status perspective, it is also possible to see how many seconds the blocking rules against an IP address will remain in effect by using the psad --Status command.

اسٹیٹس کے نقطہ نظر سے، یہ دیکھنا بھی ممکن ہے کہ psad --Status کمانڈ کا استعمال کرتے ہوئے کسی IP ایڈریس کے خلاف بلاکنگ رولز کتنے سیکنڈ تک نافذ رہیں گے۔


After waiting for over an hour, we see via syslog that psad has removed the blocking rules against the 144.202. X. X address:

ایک گھنٹے سے زیادہ انتظار کرنے کے بعد، ہم syslog کے ذریعے دیکھتے ہیں کہ psad نے 144.202 کے خلاف بلاکنگ رولز ہٹا دیے ہیں۔ X. X پتہ:


Now we’ll attempt a UDP scan against the iptables target.

اب ہم iptables ٹارگٹ کے خلاف UDP اسکین کرنے کی کوشش کریں گے۔


Because psad tracks the fact that the attacker’s source address (144.202. X. X) has already achieved a danger level of 3, it will renew the blocking rules as soon as the first UDP packet is logged.

چونکہ psad اس حقیقت کو ٹریک کرتا ہے کہ حملہ آور کا سورس ایڈریس (144.202۔ X. X) پہلے ہی خطرے کی سطح 3 حاصل کر چکا ہے، یہ بلاکنگ رولز کو جلد از جلد تجدید کرے گا جیسے ہی پہلا UDP پیکٹ لاگ ان ہو گا۔


The Apache webserver is bound to TCP port 80.

Apache ویب سرور TCP پورٹ 80 سے منسلک ہے۔


A spoofed TCP ACK packet can never qualify as part of a legitimate TCP connection.

ایک جعل سازی شدہ ٹی سی پی اے سی کے پیکٹ کو کبھی بھی جائز ٹی سی پی کنکشن کے حصے کے طور پر کوالیفائی نہیں کیا جا سکتا۔


This is exceedingly unlikely unless the attacker is already in a position to be able to monitor TCP connections.

یہ انتہائی غیر متوقع ہے جب تک کہ حملہ آور پہلے سے ہی ٹی سی پی کنکشن کی نگرانی کرنے کی پوزیشن میں نہ ہو۔


They will go after more fruitful targets, such as the direct compromise of additional systems.

وہ زیادہ نتیجہ خیز اہداف کے پیچھے جائیں گے، جیسے اضافی سسٹمز سے براہ راست سمجھوتہ۔


Currently, nearly 90 percent of all Snort rules utilize the flow option.

اس وقت، تقریباً 90 فیصد سنورٹ قوانین فلو آپشن استعمال کرتے ہیں۔


Through the use of connection-tracking facilities, iptables is a stateful firewall.

کنکشن ٹریکنگ کی سہولیات کے استعمال کے ذریعے، آئی پی ٹیبلز ایک اسٹیٹ فل فائر وال ہے۔


Although iptables does not provide a way to restrict packet match criteria.

اگرچہ آئی پی ٹیبلز پیکٹ میچ کے معیار کو محدود کرنے کا کوئی طریقہ فراہم نہیں کرتا ہے۔


This is by far the most important capability in terms of intrusion detection.

یہ دراندازی کا پتہ لگانے کے لحاظ سے اب تک کی سب سے اہم صلاحیت ہے۔


Attackers cannot trick iptables into taking action against malicious-looking spoofed TCP ACK packets.

حملہ آور آئی پی ٹیبلز کو بدنیتی پر مبنی نظر آنے والے جعل سازی شدہ ٹی سی پی اے سی کے پیکٹوں کے خلاف کارروائی کرنے کے لیے دھوکہ نہیں دے سکتے۔


To instruct iptables to match against established TCP connections, we can use the following command-line arguments.

آئی پی ٹیبلز کو قائم کردہ ٹی سی پی کنکشن کے خلاف میچ کرنے کی ہدایت کرنے کے لیے، ہم درج ذیل کمانڈ لائن دلائل استعمال کر سکتے ہیں۔


TCP connection hijacking can sometimes be used to compromise systems as well.

ٹی سی پی کنکشن ہائی جیکنگ بعض اوقات سسٹمز سے سمجھوتہ کرنے کے لیے بھی استعمال کی جا سکتی ہے۔


The state match can also be applied to other phases of a TCP connection such as NEW.

اسٹیٹ میچ کو ٹی سی پی کنکشن کے دیگر مراحل پر بھی لاگو کیا جا سکتا ہے جیسے کہ نیا۔


The replace Snort option is only applicable when Snort is running in inline mode.

تبدیل کریں سنورٹ آپشن صرف اس وقت قابل اطلاق ہے جب سنورٹ ان لائن موڈ میں چل رہا ہو۔


In this mode, Snort becomes a true intrusion prevention system.

اس موڈ میں، سنورٹ ایک حقیقی دراندازی کی روک تھام کا نظام بن جاتا ہے۔


The requirement that the strings are of equal length stems from the fact that sequence and acknowledgment numbers must continue to make sense.

اس ضرورت کا کہ سٹرنگز کی لمبائی برابر ہو، اس حقیقت سے ہے کہ تسلسل اور اعتراف نمبروں کو سمجھ میں آنا چاہیے۔


Replacing application layer data en route requires transport layer checksums to be recalculated.

راستے میں ایپلیکیشن لیئر ڈیٹا کو تبدیل کرنے کے لیے ٹرانسپورٹ لیئر چیک سمز کو دوبارہ حساب لگانے کی ضرورت ہوتی ہے۔


Inline data replacement offers the potential to silently break certain exploits.

ان لائن ڈیٹا کی تبدیلی بعض استحصال کو خاموشی سے توڑنے کی صلاحیت پیش کرتی ہے۔


The resp option provided by the flexresponse and flexresponse2 Snort detection plug-ins allows Snort to actively respond to network traffic.

فلیکس ریسپانس اور فلیکس ریسپانس 2 سنورٹ ڈیٹیکشن پلگ ان کے ذریعہ فراہم کردہ رسپ آپشن سنورٹ کو نیٹ ورک ٹریفک کا فعال طور پر جواب دینے کی اجازت دیتا ہے۔


The iptables REJECT target supports these functions through the arguments.

آئی پی ٹیبلز ریجیکٹ ٹارگٹ ان دلائل کے ذریعے ان افعال کی حمایت کرتا ہے۔


Malicious systems can filter incoming RST or RST/ACK packets generated by remote iptables firewalls.

بدنیتی پر مبنی نظام ریموٹ آئی پی ٹیبلز فائر والز کے ذریعہ تیار کردہ آنے والے آر ایس ٹی یا آر ایس ٹی/اے سی کے پیکٹوں کو فلٹر کر سکتے ہیں۔


Here we briefly illustrate the REJECT target in action against an iptables firewall.

یہاں ہم مختصراً آئی پی ٹیبلز فائر وال کے خلاف ایکشن میں ریجیکٹ ٹارگٹ کی مثال دیتے ہیں۔


Snort rule that uses such an option requires a userland application to parse the logging message in order to detect attacks described by such a rule.

ایسا سنورٹ قاعدہ جو اس طرح کے آپشن کا استعمال کرتا ہے اس کے لیے ایک صارف لینڈ ایپلی کیشن کی ضرورت ہوتی ہے جو لاگنگ پیغام کو پارس کرے تاکہ اس طرح کے قاعدے سے بیان کردہ حملوں کا پتہ لگایا جا سکے۔


Consequently, for attacks matching these Snort rules, iptables cannot itself take any action against them—only a userland application can take action after parsing the attack out of the iptables log messages.

نتیجتاً، ان سنورٹ قواعد سے مماثل حملوں کے لیے، آئی پی ٹیبلز خود ان کے خلاف کوئی کارروائی نہیں کر سکتا—صرف ایک صارف لینڈ ایپلی کیشن آئی پی ٹیبلز لاگ پیغامات سے حملے کو پارس کرنے کے بعد کارروائی کر سکتی ہے۔


Therefore, fwsnort does not translate Snort rules that contain options in the following list, because there are no equivalent iptables matching/filtering options.

لہذا، fwsnort ان سنورٹ قواعد کا ترجمہ نہیں کرتا ہے جن میں درج ذیل فہرست میں اختیارات شامل ہیں، کیونکہ کوئی مساوی آئی پی ٹیبلز مماثل/فلٹرنگ اختیارات نہیں ہیں۔


However, all of the packet header information in the above list is included within iptables logs for easy analysis by an application such as psad.

تاہم، مندرجہ بالا فہرست میں پیکٹ ہیڈر کی تمام معلومات psad جیسی ایپلی کیشن کے ذریعے آسانی سے تجزیہ کے لیے آئی پی ٹیبلز لاگز میں شامل ہیں۔


The iptables u32 extension can allow iptables to match arbitrary bytes within IP packets and apply numeric tests to them.

آئی پی ٹیبلز u32 ایکسٹینشن آئی پی ٹیبلز کو آئی پی پیکٹس کے اندر من مانی بائٹس سے مماثل ہونے اور ان پر عددی ٹیسٹ لاگو کرنے کی اجازت دے سکتی ہے۔


ack Matches the 32-bit acknowledgment number in the TCP header.

ack ٹی سی پی ہیڈر میں 32 بٹ کی تصدیقی تعداد سے مماثل ہے۔


icmp_id Matches the ID value present in some ICMP packets.

icmp_id کچھ ICMP پیکٹس میں موجود ID ویلیو سے مماثل ہے۔


icmp_seq Matches the sequence value present in some ICMP packets.

icmp_seq کچھ ICMP پیکٹس میں موجود ترتیب کی قدر سے مماثل ہے۔


id Matches the 16-bit IP ID field in the IP header.

id IP ہیڈر میں 16 بٹ IP ID فیلڈ سے مماثل ہے۔


sameip Searches for identical source and destination IP addresses.

sameip یکساں سورس اور منزل کے IP پتے تلاش کرتا ہے۔


seq Matches the 32-bit sequence number in the TCP header.

seq ٹی سی پی ہیڈر میں 32 بٹ کی ترتیب نمبر سے مماثل ہے۔


window Matches the 16-bit window value in the TCP header.

ونڈو ٹی سی پی ہیڈر میں 16 بٹ ونڈو ویلیو سے مماثل ہے۔


For example, the IP ID, ICMP ID, and ICMP sequence numbers are all included in the default iptables log message generated by an ICMP Echo Request packet.

مثال کے طور پر، IP ID، ICMP ID، اور ICMP ترتیب نمبرز سبھی ڈیفالٹ آئی پی ٹیبلز لاگ پیغام میں شامل ہیں جو ICMP Echo Request پیکٹ کے ذریعے تیار کیا جاتا ہے۔


Even though there is no way within iptables to match a packet if the source and destination IP addresses are the same, the sameip Snort rule option can be emulated simply by checking to see if the SRC and DST values are the same within an iptables log message.

اگرچہ آئی پی ٹیبلز کے اندر کوئی طریقہ نہیں ہے کہ کسی پیکٹ سے مماثل ہو اگر سورس اور منزل کے IP پتے ایک جیسے ہیں، تو sameip سنورٹ رول آپشن کو محض یہ چیک کر کے نقل کیا جا سکتا ہے کہ آیا SRC اور DST کی قدریں آئی پی ٹیبلز لاگ پیغام کے اندر ایک جیسی ہیں۔


This check must be performed by a userland process and is made possible because the log message contains both the source and destination IP addresses, which makes it easy to see if they are the same.

یہ چیک ایک صارف لینڈ عمل کے ذریعے انجام دیا جانا چاہیے اور یہ ممکن بنایا گیا ہے کیونکہ لاگ پیغام میں سورس اور منزل دونوں IP پتے شامل ہیں، جو یہ دیکھنا آسان بناتا ہے کہ آیا وہ ایک جیسے ہیں۔


The sameip option is important for detecting the LAND attack in which a spoofed TCP SYN packet from the attacker that’s destined for a particular IP address looks as though it came from the target IP address itself.

sameip آپشن لینڈ حملے کا پتہ لگانے کے لیے اہم ہے جس میں حملہ آور کی طرف سے ایک سپوفڈ ٹی سی پی SYN پیکٹ جو ایک خاص IP ایڈریس کے لیے ہے، ایسا لگتا ہے جیسے وہ خود ہدف کے IP ایڈریس سے آیا ہے۔


Many older operating systems, including Windows NT 4.0 and Windows 95, mishandle this type of packet by completely crashing, thus making LAND an effective Denial of Service (DoS) attack against these systems.

بہت سے پرانے آپریٹنگ سسٹم، بشمول ونڈوز NT 4.0 اور ونڈوز 95، اس قسم کے پیکٹ کو مکمل طور پر کریش کرکے غلط طریقے سے ہینڈل کرتے ہیں، اس طرح لینڈ کو ان سسٹمز کے خلاف سروس سے انکار (DoS) کا ایک مؤثر حملہ بناتا ہے۔


The seq and ack Snort options apply to the sequence and acknowledgment numbers in the TCP header, but the LOG target does not include these fields by default when a packet hits an iptables logging rule in the kernel.

seq اور ack سنورٹ آپشنز ٹی سی پی ہیڈر میں ترتیب اور تصدیقی نمبروں پر لاگو ہوتے ہیں، لیکن جب کوئی پیکٹ کرنل میں آئی پی ٹیبلز لاگنگ رول کو نشانہ بناتا ہے تو LOG ٹارگٹ بذات خود ان فیلڈز کو شامل نہیں کرتا ہے۔


The window option allows Snort to match against the TCP window size, and this value is included by default in iptables log messages.

ونڈو آپشن سنورٹ کو ٹی سی پی ونڈو سائز کے خلاف مماثل ہونے کی اجازت دیتا ہے، اور یہ قدر بذات خود آئی پی ٹیبلز لاگ پیغامات میں شامل ہے۔


The TCP sequence and acknowledgment numbers, as well as the window size, are displayed in bold below.

ٹی سی پی ترتیب اور تصدیقی نمبر، نیز ونڈو سائز، ذیل میں بولڈ میں دکھائے گئے ہیں۔


The fwsnort configuration file is crucial for setting up the firewall rules.

فوسنورٹ کنفیگریشن فائل فائر وال کے قوانین ترتیب دینے کے لیے بہت اہم ہے۔


Fwsnort translates Snort rules into iptables commands.

فوسنورٹ سنورٹ کے قوانین کو آئی پی ٹیبلز کمانڈز میں ترجمہ کرتا ہے۔


The script is divided into several sections for different functionalities.

اس اسکرپٹ کو مختلف کاموں کے لیے کئی حصوں میں تقسیم کیا گیا ہے۔


The configuration section allows for easy tweaking of paths.

کنفیگریشن سیکشن راستوں میں آسانی سے تبدیلی کی اجازت دیتا ہے۔


Fwsnort creates special chains for established TCP sessions.

فوسنورٹ قائم شدہ ٹی سی پی سیشنز کے لیے خصوصی چینز بناتا ہے۔


The fourth section handles the heavyweight packet inspection.

چوتھا حصہ بھاری پیکٹ معائنہ کو سنبھالتا ہے۔


Each rule contains elements from the Snort rule header.

ہر قانون میں سنورٹ کے قانون کے ہیڈر کے عناصر شامل ہوتے ہیں۔


By default, fwsnort only logs malicious packets.

ڈیفالٹ کے طور پر، فوسنورٹ صرف نقصان دہ پیکٹس کو لاگ کرتا ہے۔


The --ipt-drop option instructs fwsnort to drop packets.

--ipt-drop آپشن فوسنورٹ کو پیکٹس کو ڈراپ کرنے کی ہدایت کرتا ہے۔


The Trin00 tool is used for DDoS attacks.

ٹرین 00 ٹول ڈی ڈی او ایس حملوں کے لیے استعمال ہوتا ہے۔


The signature looks for a specific string within a UDP packet.

دستخط ایک یو ڈی پی پیکٹ کے اندر ایک مخصوص سٹرنگ تلاش کرتا ہے۔


Shellcode.rules file looks for common byte sequences.

شیل کوڈ ڈاٹ رولز فائل عام بائٹ سیکوئنسز تلاش کرتی ہے۔


The Dumador trojan is a type of malware.

ڈومڈور ٹروجن ایک قسم کا مالویئر ہے۔


It contains a keylogger and a backdoor server.

اس میں ایک کی لاگر اور ایک بیک ڈور سرور شامل ہے۔


The signature requires multiple application layer content matches.

دستخط کو متعدد ایپلیکیشن لیئر مواد کے مماثل ہونے کی ضرورت ہے۔


Fwsnort can refuse to play nicely with the --ipt-reject command.

فوسنورٹ --ipt-reject کمانڈ کے ساتھ خوش اسلوبی سے کام کرنے سے انکار کر سکتا ہے۔


A DNS cache-poisoning attack can redirect user requests.

ڈی این ایس کیش-پوائزننگ حملہ صارف کی درخواستوں کو دوبارہ بھیج سکتا ہے۔


حملہ آور دھوکہ باز ڈی این ایس سرورز استعمال کرتا ہے۔


The vulnerability was exploited on the Internet.

اس کمزوری کا انٹرنیٹ پر استحصال کیا گیا۔


This could be accomplished in a variety of ways.

یہ مختلف طریقوں سے انجام دیا جا سکتا ہے۔


Such as sending an email to a bogus user, thus eliciting a non-delivery report (NDR) to the source domain.

مثال کے طور پر، کسی فرضی صارف کو ای میل بھیجنا، اس طرح ماخذ ڈومین کو غیر ترسیل کی رپورٹ (این ڈی آر) حاصل کرنا۔


This requires a mail server to be running on the targeted network, or by issuing a request to the malicious server from a previously installed piece of spyware.

اس کے لیے ضروری ہے کہ ہدف والے نیٹ ورک پر میل سرور چل رہا ہو، یا پہلے سے نصب شدہ سپائی ویئر کے ذریعے بدنیتی پر مبنی سرور کو درخواست جاری کی جائے۔


In the bleeding-all.rules file provided by http://www.bleedingsnort.com, Snort ID 2001842 detects when a system that is part of the internal network issues a DNS request for one of the malicious domains that took part in the DNS cache-poisoning attack, 7sir7.com.

http://www.bleedingsnort.com کی طرف سے فراہم کردہ bleeding-all.rules فائل میں، Snort ID 2001842 اس وقت پتہ لگاتا ہے جب کوئی سسٹم جو اندرونی نیٹ ورک کا حصہ ہے، DNS کیش-پوائزننگ حملے، 7sir7.com میں حصہ لینے والے بدنیتی پر مبنی ڈومینز میں سے کسی ایک کے لیے DNS درخواست جاری کرتا ہے۔


We can have fwsnort alert us to this fact by translating the rule into an iptables policy and executing the result- ing fwsnort.sh script:

ہم fwsnort کو اس حقیقت سے آگاہ کر سکتے ہیں، اس اصول کو iptables پالیسی میں ترجمہ کرکے اور نتیجے میں آنے والے fwsnort.sh اسکرپٹ کو چلا کر:


کامیاب ترجمہ۔


See http://isc.sans.org/presentations/dnspoisoning.php for a comprehensive write-up of the DNS cache-poisoning attack and the strategy used by the attackers.

DNS کیش-پوائزننگ حملے اور حملہ آوروں کی طرف سے استعمال کی جانے والی حکمت عملی کے بارے میں جامع تحریر کے لیے http://isc.sans.org/presentations/dnspoisoning.php دیکھیں۔


Deploying fwsnort189 The original Snort rule identified by SID 2001842 and its iptables equiv- alent appear in the FWSNORT_FORWARD chain to which packets are jumped from the built-in FORWARD chain:

fwsnort189 کو تعینات کرنا۔ SID 2001842 کے ذریعے شناخت کردہ اصل Snort اصول اور اس کے iptables کے مساوی FWSNORT_FORWARD چین میں ظاہر ہوتے ہیں جس پر پیکٹ بلٹ ان FORWARD چین سے جمپ کیے جاتے ہیں:


In order to show that the fwsnort rule actually works, we simulate the traffic needed to cause a signature match from an internal host.

یہ ظاہر کرنے کے لیے کہ fwsnort کا اصول واقعی کام کرتا ہے، ہم اس ٹریفک کی نقالی کرتے ہیں جو اندرونی میزبان سے دستخطی مماثلت کا سبب بنتا ہے۔


Again, we use the network diagram in Figure 1-2 to help illustrate this example.

دوبارہ، ہم اس مثال کو واضح کرنے میں مدد کے لیے شکل 1-2 میں نیٹ ورک ڈایاگرام کا استعمال کرتے ہیں۔


The dnsserver host simulates a request as if it does not yet have an “A” record mapping www.7sir7.com to an IP address, and so it must issue a request that will eventually query the authoritative (malicious) DNS server for the 7sir7.com domain.

dnsserver میزبان ایک درخواست کی نقالی کرتا ہے گویا اس کے پاس ابھی تک www.7sir7.com کو IP ایڈریس پر نقشہ بنانے والا “A” ریکارڈ نہیں ہے، اور اس لیے اسے ایک درخواست جاری کرنی ہوگی جو بالآخر 7sir7.com ڈومین کے لیے مستند (بدنیتی پر مبنی) DNS سرور سے استفسار کرے گی۔


We don’t need (or want!) an internal system that is actually vulnerable to the cache-poisoning attack in order to test whether our fwsnort ruleset works; it is sufficient to manufacture a UDP packet that contains the consecutive bytes |05|7sir7|03|com from any system on the internal network to any external IP address with a destination port of 53.

ہمیں اس بات کی جانچ کرنے کے لیے کہ آیا ہمارا fwsnort رول سیٹ کام کرتا ہے، کسی ایسے اندرونی نظام کی ضرورت نہیں ہے (یا چاہتے ہیں!) جو درحقیقت کیش-پوائزننگ حملے کا شکار ہو؛ یہ ایک UDP پیکٹ تیار کرنے کے لیے کافی ہے جس میں مسلسل بائٹس |05|7sir7|03|com شامل ہوں جو اندرونی نیٹ ورک پر کسی بھی سسٹم سے منزل کے پورٹ 53 کے ساتھ کسی بھی بیرونی IP ایڈریس پر ہوں۔


We can easily craft this packet by using the single Perl command shown below on the dnsserver system and piping the output to Netcat to send it over the network to an IP address that represents a malicious DNS server:

ہم اس پیکٹ کو آسانی سے تیار کر سکتے ہیں جو نیچے دکھائے گئے سنگل پرل کمانڈ کا استعمال کرتے ہوئے dnsserver سسٹم پر اور آؤٹ پٹ کو نیٹ کیٹ پر پائپنگ کرکے اسے نیٹ ورک پر ایک IP ایڈریس پر بھیجتے ہیں جو ایک بدنیتی پر مبنی DNS سرور کی نمائندگی کرتا ہے:


On the iptablesfw firewall system, we see that, indeed, iptables has detected the suspicious packet and has created the following log message in /var/log/messages (note the [1] SID2001842 logging prefix):

iptablesfw فائر وال سسٹم پر، ہم دیکھتے ہیں کہ، درحقیقت، iptables نے مشکوک پیکٹ کا پتہ لگایا ہے اور /var/log/messages میں درج ذیل لاگ پیغام تیار کیا ہے (نوٹ کریں [1] SID2001842 لاگنگ سابقہ):


Because we did not supply either the --ipt-drop or --ipt-reject command- line arguments to fwsnort when we translated the cache-poisoning signature, iptables made no effort to prevent the suspicious packet from exiting the network.

چونکہ ہم نے کیش-پوائزننگ دستخط کا ترجمہ کرتے وقت fwsnort کو --ipt-drop یا --ipt-reject کمانڈ لائن دلائل فراہم نہیں کیے، iptables نے مشکوک پیکٹ کو نیٹ ورک سے باہر جانے سے روکنے کی کوئی کوشش نہیں کی۔


We can confirm this by running a packet trace on the external interface of the firewall and executing the same Perl command above:

ہم فائر وال کے بیرونی انٹرفیس پر پیکٹ ٹریس چلا کر اور اوپر دی گئی ایک ہی پرل کمانڈ کو چلا کر اس کی تصدیق کر سکتے ہیں:


In the tcpdump output shown in bold above are the hex codes that show the exact application layer data associated with the cache-poisoning signature.

اوپر بولڈ میں دکھائے گئے tcpdump آؤٹ پٹ میں وہ ہیکس کوڈز ہیں جو کیش-پوائزننگ دستخط سے وابستہ عین ایپلی کیشن لیئر ڈیٹا کو ظاہر کرتے ہیں۔


This proves the packet is forwarded through the iptables firewall.

یہ ثابت کرتا ہے کہ پیکٹ iptables فائر وال کے ذریعے آگے بھیجا جاتا ہے۔


But fwsnort does not need to remain complacent and just log the DNS cache-poisoning attack above.

لیکن fwsnort کو مطمئن رہنے اور صرف اوپر DNS کیش-پوائزننگ حملے کو لاگ کرنے کی ضرورت نہیں ہے۔


In this example, we instruct it to drop the DNS request to the cache-poisoning domain, redeploy the resulting iptables policy, simulate the request from the dnsserver system once again, and examine the iptables log:

اس مثال میں، ہم اسے کیش-پوائزننگ ڈومین کو DNS درخواست کو چھوڑنے، نتیجے میں آنے والی iptables پالیسی کو دوبارہ تعینات کرنے، ایک بار پھر dnsserver سسٹم سے درخواست کی نقالی کرنے، اور iptables لاگ کا جائزہ لینے کی ہدایت کرتے ہیں:


This time, the logging prefix has changed.

اس بار، لاگنگ سابقہ تبدیل ہو گیا ہے۔


We’ll conclude this chapter with a juicy email from psad regarding the specifics of the attempted Metasploit update.

ہم اس باب کا اختتام psad کی جانب سے میٹااسپلائٹ اپ ڈیٹ کی کوشش کی تفصیلات کے بارے میں ایک دلچسپ ای میل کے ساتھ کریں گے۔


From: root <root@cipherdyne.org> Subject: [psad-alert] DL4 src: metasploit.com dst: int_scanner To: mbr@cipherdyne.org Date: Thu, 31 Jul 2008 17:42:14 -0400 (EDT)

از: روٹ <root@cipherdyne.org> موضوع: [psad-alert] DL4 src: metasploit.com dst: int_scanner برائے: mbr@cipherdyne.org تاریخ: جمعرات، 31 جولائی 2008 17:42:14 -0400 (EDT)


جولائی خطرے کی سطح: [4] (5 میں سے)


Scanned TCP ports: [38528: 1 packets] TCP flags: [ACK: 1 packets]

اسکین شدہ TCP پورٹس: [38528: 1 پیکٹ] TCP جھنڈے: [ACK: 1 پیکٹ]


iptables chain: FWSNORT_FORWARD_ESTAB (prefix "REJ SID900001 ESTAB"), 1 packets fwsnort rule: 1 Source: 216.75.15.231

iptables سلسلہ: FWSNORT_FORWARD_ESTAB (پریفکس "REJ SID900001 ESTAB")، 1 پیکٹ fwsnort قاعدہ: 1 ماخذ: 216.75.15.231


DNS: metasploit.com Destination: 192.168.10.200 DNS: [No reverse dns info available]

DNS: metasploit.com منزل: 192.168.10.200 DNS: [کوئی ریورس ڈی این ایس معلومات دستیاب نہیں]


Syslog hostname: iptables Overall scan start: Thu Jul 31 17:42:13 2007

Syslog میزبان نام: iptables مجموعی اسکین کا آغاز: جمعرات 31 جولائی 17:42:13 2007


Total email alerts: 1 Complete TCP range: [53003] Syslog hostname: iptablesfw

کل ای میل الرٹس: 1 مکمل TCP رینج: [53003] Syslog میزبان نام: iptablesfw


Global stats: chain: interface: TCP: UDP: ICMP: INPUT eth0 1 0 0

عالمی اعدادوشمار: سلسلہ: انٹرفیس: TCP: UDP: ICMP: INPUT eth0 1 0 0


[+] TCP scan signatures: "Metasploit exploit DB update" flags: ACK content: "cacert@metasploit.com" sid: 900001 chain: FWSNORT_FORWARD_ESTAB packets: 1 classtype: misc-activity

[+] TCP اسکین دستخط: "Metasploit exploit DB update" جھنڈے: ACK مواد: "cacert@metasploit.com" sid: 900001 سلسلہ: FWSNORT_FORWARD_ESTAB پیکٹ: 1 قسم: متفرق سرگرمی


[+] whois Information: OrgName: California Regional Intranet, Inc.

[+] whois معلومات: OrgName: California Regional Intranet, Inc.


Combining psad and fwsnort211 Country: US ReferralServer: rwhois://rwhois.cari.net:4321

psad اور fwsnort211 کو یکجا کرنا ملک: US حوالہ سرور: rwhois://rwhois.cari.net:4321


In the code listing above, 0 catches the destination TCP port number 38528, which is the source port chosen by the internal client system.

اوپر دی گئی کوڈ کی فہرست میں، 0 منزل TCP پورٹ نمبر 38528 کو پکڑتا ہے، جو اندرونی کلائنٹ سسٹم کے ذریعہ منتخب کردہ ماخذ پورٹ ہے۔


Essentially, this turns iptables into a basic intrusion prevention system with the power to stop a host of attacks from interacting either with processes bound for sockets on the local system, or with remote clients or servers whose traffic is forwarded through the system.

بنیادی طور پر، یہ iptables کو ایک بنیادی مداخلت کی روک تھام کے نظام میں تبدیل کرتا ہے جس میں حملوں کی ایک میزبانی کو مقامی نظام پر ساکٹ کے لیے پابند عملوں کے ساتھ یا ریموٹ کلائنٹس یا سرورز کے ساتھ تعامل کرنے سے روکنے کی طاقت ہے جن کا ٹریفک سسٹم کے ذریعے آگے بڑھایا جاتا ہے۔


By employing iptables in a default-drop stance for a set of protected services, and simultaneously granting access only to clients that are able to prove their identity to iptables via passively collected information, we can add an additional layer of security to arbitrary network services.

محفوظ خدمات کے ایک سیٹ کے لیے ڈیفالٹ ڈراپ موقف میں iptables کو استعمال کرکے، اور بیک وقت صرف ان کلائنٹس کو رسائی فراہم کرکے جو غیر فعال طور پر جمع کی گئی معلومات کے ذریعے iptables کو اپنی شناخت ثابت کرنے کے قابل ہیں، ہم من مانی نیٹ ورک خدمات میں سیکیورٹی کی ایک اضافی پرت شامل کر سکتے ہیں۔


This is particularly true for TCP-based services, since most intrusion detection systems today maintain a notion of TCP session state in order to filter out bogus attacks that are spoofed over the network without an established TCP session.

یہ خاص طور پر TCP پر مبنی خدمات کے لیے درست ہے، کیونکہ آج کل زیادہ تر مداخلت کا پتہ لگانے والے نظام TCP سیشن کی حالت کا تصور برقرار رکھتے ہیں تاکہ جعلی حملوں کو فلٹر کیا جا سکے جو بغیر کسی قائم شدہ TCP سیشن کے نیٹ ورک پر سپوف کیے جاتے ہیں۔


Hence, port knocking and SPA result in a reduction of the means to perpetrate attacks against network services.

لہذا، پورٹ دستک اور SPA کے نتیجے میں نیٹ ورک سروسز کے خلاف حملے کرنے کے ذرائع میں کمی واقع ہوتی ہے۔


We will see that the functionality provided by iptables can make it easy to implement effective port- knocking and SPA systems.

ہم دیکھیں گے کہ iptables کے ذریعہ فراہم کردہ فعالیت موثر پورٹ دستک اور SPA سسٹمز کو لاگو کرنا آسان بنا سکتی ہے۔


Adding this extra layer of security to services like SSHD can mean the difference between being compromised and remaining secure.

SSHD جیسی خدمات میں سیکیورٹی کی یہ اضافی پرت شامل کرنے کا مطلب سمجھوتہ کرنے اور محفوظ رہنے کے درمیان فرق ہو سکتا ہے۔


A zero-day attack is created when someone finds a previously undiscovered security vulnerability in a piece of software and writes an exploit for it.

ایک زیرو ڈے حملہ اس وقت تخلیق ہوتا ہے جب کوئی شخص سافٹ ویئر کے ایک ٹکڑے میں پہلے سے دریافت نہ ہونے والی سیکیورٹی کمزوری تلاش کرتا ہے اور اس کے لیے ایک استحصال لکھتا ہے۔


Let’s use eight bytes for a username and one byte as a kind of minimal checksum value.

آئیے صارف نام کے لیے آٹھ بائٹس اور ایک بائٹ کو کم سے کم چیکسم ویلیو کے طور پر استعمال کریں۔


For the username, I will use my mbr username, or its equivalent in hex bytes.

صارف نام کے لیے، میں اپنا ایم بی آر صارف نام استعمال کروں گا، یا اس کے مساوی ہیکس بائٹس میں۔


Finally, we calculate the checksum as the sum of all values mod 256.

آخر میں، ہم چیکسم کا حساب تمام اقدار کے مجموعے کے طور پر 256 ماڈ کے طور پر لگاتے ہیں۔


Hence, our unencrypted port-knocking sequence looks like this:

لہذا، ہماری غیر منقطع پورٹ دستک کی ترتیب اس طرح نظر آتی ہے:


Because each byte within the knock sequence can be represented as a single byte of information.

کیونکہ دستک کی ترتیب میں موجود ہر بائٹ کو معلومات کے ایک واحد بائٹ کے طور پر ظاہر کیا جا سکتا ہے۔


That is, we’ll add 64,400 to each of the port values in the encrypted sequence.

یعنی، ہم خفیہ کردہ ترتیب میں ہر پورٹ ویلیو میں 64,400 شامل کریں گے۔


Our final sequence is generated with the following Perl program.

ہماری حتمی ترتیب درج ذیل پرل پروگرام کے ساتھ تیار کی گئی ہے۔


The output of the enc_knock.pl script in Listing 12-2 would need to be sent over the network.

فہرست 12-2 میں enc_knock.pl اسکرپٹ کا آؤٹ پٹ نیٹ ورک پر بھیجنے کی ضرورت ہوگی۔


Architectural Limitations of Port Knocking

پورٹ دستک کی آرکیٹیکچرل حدود


If an attacker can intercept a port-knocking sequence as it is transmitted over the network, then it is easy for the attacker to send an identical knock sequence to the same target at a later time.

اگر کوئی حملہ آور نیٹ ورک پر منتقل ہونے کے دوران پورٹ دستک کی ترتیب کو روک سکتا ہے، تو حملہ آور کے لیے بعد میں ایک ہی ہدف پر ایک جیسی دستک کی ترتیب بھیجنا آسان ہے۔


This is called a replay attack, because the attacker is replaying the knock sequence against the target in an attempt to gain the same access as the legitimate port-knocking client.

اسے ری پلے اٹیک کہا جاتا ہے، کیونکہ حملہ آور جائز پورٹ دستک کلائنٹ کی طرح رسائی حاصل کرنے کی کوشش میں ہدف کے خلاف دستک کی ترتیب کو دوبارہ چلا رہا ہے۔


Because port knocking just uses packet headers, it is difficult to build enough variation into port knock sequences to stop replay attacks.

چونکہ پورٹ دستک صرف پیکٹ ہیڈرز کا استعمال کرتا ہے، اس لیے ری پلے حملوں کو روکنے کے لیے پورٹ دستک کی ترتیب میں کافی تغیر پیدا کرنا مشکل ہے۔


Some port-knocking implementations use successive iterations of a hashing function to stop replay attacks.

کچھ پورٹ دستک کے نفاذ ری پلے حملوں کو روکنے کے لیے ہیشنگ فنکشن کی متواتر تکرار کا استعمال کرتے ہیں۔


Alternatively, we could simply change the shared port-knock sequence or the decryption password for each encrypted sequence once access has been granted, but this is tedious and certainly does not scale well for lots of users.

متبادل طور پر، ہم آسانی سے مشترکہ پورٹ دستک کی ترتیب یا ہر خفیہ کردہ ترتیب کے لیے ڈکرپشن پاس ورڈ تبدیل کر سکتے ہیں ایک بار رسائی ملنے کے بعد، لیکن یہ تھکا دینے والا ہے اور یقینی طور پر بہت سارے صارفین کے لیے اچھی طرح سے پیمانہ نہیں کرتا ہے۔


Because the port fields in the TCP and UDP headers are 16 bits wide, if we assume that a port-knocking implementation uses only the destination port number of each packet in the knock sequence, only two bytes of information can be transferred per packet.

چونکہ TCP اور UDP ہیڈرز میں پورٹ فیلڈز 16 بٹس چوڑی ہیں، اگر ہم فرض کریں کہ پورٹ دستک کا نفاذ دستک کی ترتیب میں ہر پیکٹ کے صرف منزل پورٹ نمبر کا استعمال کرتا ہے، تو صرف دو بائٹس کی معلومات فی پیکٹ منتقل کی جا سکتی ہیں۔


We need the time delay to maintain the correct ordering on the port-knocking sequence because packets may arrive along different routing paths—some of which may be slower than others.

ہمیں پورٹ دستک کی ترتیب پر درست ترتیب کو برقرار رکھنے کے لیے وقت میں تاخیر کی ضرورت ہے کیونکہ پیکٹ مختلف روٹنگ راستوں کے ساتھ آ سکتے ہیں—جن میں سے کچھ دوسروں کے مقابلے میں سست ہو سکتے ہیں۔


Hence, for a port-knocking sequence that is encrypted with a sym- metric cipher that has a 128-bit block size, we get a minimum length of eight packets.

لہذا، ایک پورٹ دستک کی ترتیب کے لیے جو ایک سم- میٹرک سائفر کے ساتھ انکرپٹڈ ہے جس میں 128 بٹ بلاک سائز ہے، ہمیں کم از کم آٹھ پیکٹوں کی لمبائی ملتی ہے۔


Adding a half-second delay between each packet implies that it would take four seconds just to transmit the sequence, and if more data needs to be sent, a full second is added for every two packets.

ہر پیکٹ کے درمیان آدھے سیکنڈ کی تاخیر شامل کرنے کا مطلب ہے کہ ترتیب کو منتقل کرنے میں صرف چار سیکنڈ لگیں گے، اور اگر مزید ڈیٹا بھیجنے کی ضرورت ہے، تو ہر دو پیکٹ کے لیے ایک مکمل سیکنڈ شامل کیا جاتا ہے۔


It is this lengthy transmission time that makes it impractical to construct port-knocking sequences that send more than a few bytes.

یہ طویل ترسیل کا وقت ہے جو پورٹ دستک کی ترتیبوں کی تعمیر کو غیر عملی بنا دیتا ہے جو چند بائٹس سے زیادہ بھیجتے ہیں۔


As discussed in Chapter 3, a port scan involves a series of connections to multiple ports on a target system within a short period of time.

جیسا کہ باب 3 میں بحث کی گئی ہے، پورٹ اسکین میں ایک مختصر وقت میں ہدف کے نظام پر متعدد پورٹس سے کنکشن کی ایک سیریز شامل ہوتی ہے۔


fwknop was released as an open source project under the GNU Public License (GPL) in June 2004.

fwknop جون 2004 میں GNU پبلک لائسنس (GPL) کے تحت ایک اوپن سورس پروجیکٹ کے طور پر جاری کیا گیا تھا۔


It was the first port-knocking implementation to combine encrypted port knocking with passive OS fingerprinting.

یہ خفیہ کردہ پورٹ دستک کو غیر فعال OS فنگر پرنٹنگ کے ساتھ جوڑنے والا پہلا پورٹ دستک عمل تھا۔


fwknop’s port-knocking component is based on iptables log messages.

fwknop کا پورٹ دستک جزو iptables لاگ پیغامات پر مبنی ہے۔


In May 2005, I released the Single Packet Authorization mode for fwknop.

مئی 2005 میں، میں نے fwknop کے لیے سنگل پیکٹ اتھورائزیشن موڈ جاری کیا۔


As of this writing, fwknop-1.0 is the latest available release.

اس تحریر کے وقت، fwknop-1.0 تازہ ترین دستیاب ریلیز ہے۔


MadHat coined the term Single Packet Authorization at Black Hat Briefings in July 2005.

MadHat نے جولائی 2005 میں بلیک ہیٹ بریفنگز میں سنگل پیکٹ اتھورائزیشن کی اصطلاح وضع کی۔


I submitted a similar proposal for presentation at the same conference.

میں نے اسی کانفرنس میں پریزنٹیشن کے لیے ایک اسی طرح کی تجویز پیش کی۔


It is also worth noting that a protocol implemented by the tumbler project is similar to SPA.

یہ بھی قابلِ ذکر ہے کہ ٹمبلر پروجیکٹ کے ذریعے لاگو کردہ ایک پروٹوکول SPA سے ملتا جلتا ہے۔


fwknop really supports both authentication and authorization.

fwknop درحقیقت تصدیق اور اجازت دونوں کی حمایت کرتا ہے۔


Installing fwknop begins with downloading the latest source tarball or RPM.

fwknop کی تنصیب تازہ ترین سورس ٹاربال یا RPM ڈاؤن لوڈ کرنے سے شروع ہوتی ہے۔


As usual, it is prudent to verify the MD5 sum.

ہمیشہ کی طرح، MD5 سم کی تصدیق کرنا دانشمندی ہے۔


Here’s how to install the source tarball of fwknop version 1.0:

یہ ہے کہ fwknop ورژن 1.0 کا سورس ٹاربال کیسے انسٹال کریں:


The install.pl script will prompt you for several bits of information.

install.pl اسکرپٹ آپ کو معلومات کے کئی ٹکڑوں کے لیے اشارہ کرے گا۔


You can install fwknop on a system that only supports sending SPA packets as an SPA client.

آپ fwknop کو ایسے سسٹم پر انسٹال کر سکتے ہیں جو صرف SPA پیکٹ کو SPA کلائنٹ کے طور پر بھیجنے کی حمایت کرتا ہے۔


A full installation of fwknop results in the creation of several files and directories.

fwknop کی مکمل تنصیب کے نتیجے میں کئی فائلوں اور ڈائریکٹریوں کی تخلیق ہوتی ہے۔


This is the client program responsible for accepting password input from the user.

یہ کلائنٹ پروگرام ہے جو صارف سے پاس ورڈ ان پٹ قبول کرنے کا ذمہ دار ہے۔


By default, fwknop sends SPA packets over UDP port 62201.

ڈیفالٹ کے طور پر، fwknop UDP پورٹ 62201 پر SPA پیکٹ بھیجتا ہے۔


This is the main daemon responsible for sniffing and decrypting SPA packet data.

یہ مین ڈیمن ہے جو SPA پیکٹ ڈیٹا کو سونگھنے اور ڈکرپٹ کرنے کا ذمہ دار ہے۔


This is the main directory for fwknop daemon configuration files such as fwknop.conf and access.conf.

یہ fwknop ڈیمن کنفیگریشن فائلوں جیسے fwknop.conf اور access.conf کے لیے مین ڈائریکٹری ہے۔


The fwknop.conf file defines critical configuration variables.

fwknop.conf فائل اہم کنفیگریشن متغیرات کی وضاحت کرتی ہے۔


First, we configure fwsnort to drop the malicious packet on the floor before it can reach the webserver.

سب سے پہلے، ہم fwsnort کو تشکیل دیتے ہیں تاکہ نقصان دہ پیکٹ کو ویب سرور تک پہنچنے سے پہلے ہی ختم کر دیا جائے۔


If you look through the /etc/fwsnort/fwsnort.sh script now, you will see two rules like so:

اگر آپ اب /etc/fwsnort/fwsnort.sh اسکرپٹ کو دیکھیں گے، تو آپ کو اس طرح دو اصول نظر آئیں گے:


The first rule is identical to the original example presented in “WEB-PHP Setup.php access Attack” on page 194, except that the log prefix contains the string DRP, which makes it clear that the next rule drops the packet.

پہلا اصول صفحہ 194 پر “WEB-PHP Setup.php رسائی اٹیک” میں پیش کردہ اصل مثال جیسا ہی ہے، سوائے اس کے کہ لاگ کے سابقے میں سٹرنگ DRP شامل ہے، جو یہ واضح کرتا ہے کہ اگلا اصول پیکٹ کو گرا دیتا ہے۔


With fwsnort up and running, we configure psad to block the attacker for one hour by setting the following variables in the psad.conf file like so:

fwsnort کے چلنے کے ساتھ، ہم psad کو psad.conf فائل میں درج ذیل متغیرات کو اس طرح سیٹ کر کے ایک گھنٹے کے لیے حملہ آور کو روکنے کے لیے تشکیل دیتے ہیں:


Now we restart psad with /etc/init.d/psad restart, and we are ready to simulate the attack against the webserver again.

اب ہم /etc/init.d/psad دوبارہ شروع کے ساتھ psad کو دوبارہ شروع کرتے ہیں، اور ہم ویب سرور کے خلاف دوبارہ حملے کی نقالی کرنے کے لیے تیار ہیں۔


The first lynx command below (which is not malicious) shows that we have uninterrupted connectivity to the webserver, but the second command fails to elicit the 404 Not Found error because the malicious packet never reaches the webserver—it is dropped by fwsnort:

نیچے دیا گیا پہلا lynx کمانڈ (جو نقصان دہ نہیں ہے) ظاہر کرتا ہے کہ ہمارے پاس ویب سرور سے بلا تعطل رابطہ ہے، لیکن دوسرا کمانڈ 404 Not Found ایرر پیدا کرنے میں ناکام رہتا ہے کیونکہ نقصان دہ پیکٹ کبھی بھی ویب سرور تک نہیں پہنچتا—اسے fwsnort گرا دیتا ہے:


A packet trace on the external interface of the iptables system gives more detail about what really happens on the wire.

iptables سسٹم کے بیرونی انٹرفیس پر ایک پیکٹ ٹریس اس بارے میں مزید تفصیلات فراہم کرتا ہے کہ تار پر اصل میں کیا ہوتا ہے۔


The attacker’s TCP stack retransmits the packet that contains the string /Setup.php because the webserver TCP stack never receives it (and so never sends an acknowledgment back to the attacker’s stack for this packet).

حملہ آور کا TCP اسٹیک اس پیکٹ کو دوبارہ منتقل کرتا ہے جس میں سٹرنگ /Setup.php شامل ہے کیونکہ ویب سرور TCP اسٹیک اسے کبھی وصول نہیں کرتا (اور اس لیے اس پیکٹ کے لیے کبھی بھی حملہ آور کے اسٹیک کو اعتراف واپس نہیں بھیجتا ہے۔)


Each retransmitted packet contains the string /Setup.php and so is dropped by iptables before it reaches the webserver.

ہر دوبارہ منتقل کردہ پیکٹ میں سٹرنگ /Setup.php شامل ہے اور اس لیے یہ ویب سرور تک پہنچنے سے پہلے iptables کے ذریعے گرا دیا جاتا ہے۔


This covers the DROP response in fwsnort, but psad has also acted to instantiate a set of blocking rules against the attacker.

یہ fwsnort میں DROP رسپانس کا احاطہ کرتا ہے، لیکن psad نے حملہ آور کے خلاف بلاکنگ قوانین کا ایک سیٹ بنانے کے لیے بھی کام کیا ہے۔


If we now attempt once again to get the index.html page from the webserver on the attacking system, we are greeted with stark silence:

اگر ہم اب ایک بار پھر اٹیکنگ سسٹم پر ویب سرور سے index.html صفحہ حاصل کرنے کی کوشش کرتے ہیں، تو ہمارا استقبال مکمل خاموشی سے ہوتا ہے:


Indeed, psad has severed all communication with the attacker’s IP address for one full hour.

درحقیقت، psad نے ایک مکمل گھنٹے کے لیے حملہ آور کے IP ایڈریس کے ساتھ تمام مواصلات منقطع کر دیے ہیں۔


The DROP rules are added to the three psad blocking chains to which packets are jumped from the built-in INPUT, OUTPUT, and FORWARD filtering chains, thus providing an effective DROP stance against the attacker’s IP address:

DROP قوانین کو تین psad بلاکنگ چینز میں شامل کیا جاتا ہے جن پر پیکٹ بلٹ ان INPUT، OUTPUT، اور FORWARD فلٹرنگ چینز سے جمپ کیے جاتے ہیں، اس طرح حملہ آور کے IP ایڈریس کے خلاف ایک مؤثر DROP موقف فراہم کیا جاتا ہے:


In the packet trace of the above section, the retransmission of the packet containing the string /Setup.php is a manifestation of the attempt to guarantee delivery of data that is built in to TCP after the DROP target refuses to forward the packet to the destination TCP stack.

مندرجہ بالا سیکشن کے پیکٹ ٹریس میں، سٹرنگ /Setup.php پر مشتمل پیکٹ کی دوبارہ منتقلی اس کوشش کا اظہار ہے کہ ڈیٹا کی ترسیل کی ضمانت دی جائے جو DROP ٹارگٹ کے پیکٹ کو منزل کے TCP اسٹیک پر فارورڈ کرنے سے انکار کرنے کے بعد TCP میں بنایا گیا ہے۔


However, fwsnort can use the iptables REJECT target instead of the DROP target so that the attacker’s TCP stack receives a RST 3 in addition to not being able to forward the malicious packet through the iptables firewall:

تاہم، fwsnort DROP ٹارگٹ کے بجائے iptables REJECT ٹارگٹ استعمال کر سکتا ہے تاکہ حملہ آور کا TCP اسٹیک RST 3 وصول کرے اس کے علاوہ نقصان دہ پیکٹ کو iptables فائر وال کے ذریعے فارورڈ کرنے کے قابل نہ ہو:


Now, when we launch the attack against the webserver again (after clearing the psad blocking rules from the previous attack with psad --Flush), our TCP stack receives a RST packet that forces the session to close:

اب، جب ہم ویب سرور کے خلاف دوبارہ حملہ شروع کرتے ہیں (psad --Flush کے ساتھ پچھلے حملے سے psad بلاکنگ قوانین کو صاف کرنے کے بعد)، ہمارا TCP اسٹیک ایک RST پیکٹ وصول کرتا ہے جو سیشن کو بند کرنے پر مجبور کرتا ہے:


A packet trace captured on the external interface of the iptables firewall clearly shows the RST packet (in bold below) being sent back to the attacker:

iptables فائر وال کے بیرونی انٹرفیس پر پکڑا گیا ایک پیکٹ ٹریس واضح طور پر RST پیکٹ (نیچے بولڈ میں) کو حملہ آور کو واپس بھیجتا ہوا دکھاتا ہے:


In the attack example above, the client side of the TCP connection receives a RST, which is subsequently honored by the local TCP stack.

اوپر دی گئی حملے کی مثال میں، TCP کنکشن کا کلائنٹ سائیڈ ایک RST وصول کرتا ہے، جسے بعد میں مقامی TCP اسٹیک کے ذریعے تسلیم کیا جاتا ہے۔


But what if the attacker is running an operating system that contains a firewall (such as iptables) capable of filtering the incoming RST packet before the local TCP stack can see it?

لیکن کیا ہوگا اگر حملہ آور ایک ایسا آپریٹنگ سسٹم چلا رہا ہے جس میں ایک فائر وال (جیسے iptables) موجود ہے جو مقامی TCP اسٹیک کے اسے دیکھنے سے پہلے آنے والے RST پیکٹ کو فلٹر کرنے کی صلاحیت رکھتا ہے؟


Because the operating system run by the attacker in this case is Linux, we can investigate what happens when we filter the incoming RST after sending the attack with the lynx client.

چونکہ اس معاملے میں حملہ آور کے ذریعے چلایا جانے والا آپریٹنگ سسٹم لینکس ہے، اس لیے ہم اس بات کی تفتیش کر سکتے ہیں کہ جب ہم lynx کلائنٹ کے ساتھ حملہ بھیجنے کے بعد آنے والے RST کو فلٹر کرتے ہیں تو کیا ہوتا ہے۔


The fwknop client has a rich set of command-line options.

fwknop کلائنٹ میں کمانڈ لائن کے اختیارات کی ایک وسیع رینج ہے۔


This encoding ensures that the colon delimiters remain unique.

یہ انکوڈنگ اس بات کو یقینی بناتی ہے کہ کالن ڈیلیمیٹرز منفرد رہیں۔