บันทึกการตรวจสอบของ UFW หมายถึงอะไร?

บางครั้งฉันได้รับรายการบันทึก AUDIT เหล่านี้จำนวนมาก

...

[UFW AUDIT] IN= OUT=eth0 SRC=176.58.105.134 DST=194.238.48.2 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=32137 DF PROTO=UDP SPT=36231 DPT=123 LEN=56
[UFW ALLOW] IN= OUT=eth0 SRC=176.58.105.134 DST=194.238.48.2 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=32137 DF PROTO=UDP SPT=36231 DPT=123 LEN=56
[UFW AUDIT] IN= OUT=lo SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=54579 DF PROTO=TCP SPT=59488 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0
[UFW AUDIT] IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=54579 DF PROTO=TCP SPT=59488 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0
[UFW AUDIT] IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=192.168.192.254 DST=192.168.192.254 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=4319 DF PROTO=TCP SPT=59489 DPT=30002 WINDOW=32792 RES=0x00 SYN URGP=0

...

ความหมายของสิ่งนี้คืออะไร? เกิดขึ้นเมื่อใดและเพราะเหตุใด ควรและฉันสามารถปิดการใช้งานรายการเฉพาะเหล่านี้? ฉันไม่ต้องการปิดการใช้งานการบันทึก UFW แต่ฉันไม่แน่ใจว่าบรรทัดเหล่านี้มีประโยชน์หรือไม่

/var/log/ufw.logหมายเหตุว่านี้ไม่ได้เกิดขึ้นจริงใน /var/log/syslogมันเกิดขึ้นใน เหตุใดจึงเป็นเช่นนี้

ข้อมูลเพิ่มเติม

• การบันทึกของฉันถูกตั้งค่าเป็นสื่อ: Logging: on (medium)

ตั้งค่าการบันทึกของคุณเป็นlowเพื่อลบAUDITข้อความ

วัตถุประสงค์ของ AUDIT (จากสิ่งที่ฉันเห็น) เกี่ยวข้องกับการบันทึกที่ไม่ใช่ค่าเริ่มต้น / แนะนำ - อย่างไรก็ตามนั่นเป็นการคาดเดาและฉันไม่สามารถค้นหาสิ่งที่เป็นรูปธรรมได้

ที่ขึ้นอยู่กับสาย โดยปกติจะเป็นฟิลด์ = ค่า

มี IN, OUT, อินเทอร์เฟซการอินพุทหรือการส่งออก (หรือทั้งสองอย่างสำหรับแพ็คเก็ตที่เพิ่งถูกถ่ายทอด

บางส่วนของพวกเขาคือ:

• TOSสำหรับประเภทบริการ
• DSTคือ IP ปลายทาง
• SRCเป็นแหล่งที่มาของไอพี
• TTLคือเวลาที่จะมีชีวิตตัวนับขนาดเล็กจะลดลงทุกครั้งที่แพ็กเก็ตถูกส่งผ่านเราเตอร์อื่น (ดังนั้นหากมีลูปแพ็กเกจจะทำลายตัวเองหนึ่งครั้งเป็น 0)
• DFคือบิต "อย่าแยกส่วน" ขอให้แพ็คเก็ตไม่แยกส่วนเมื่อส่ง
• PROTOเป็นโปรโตคอล (ส่วนใหญ่เป็น TCP และ UDP)
• SPTเป็นพอร์ตต้นทาง
• DPTเป็นพอร์ตปลายทาง

เป็นต้น

คุณควรดูที่เอกสาร TCP / UDP / IP ซึ่งทุกอย่างถูกอธิบายอย่างละเอียดยิ่งขึ้นที่ฉันสามารถทำได้

ลองดูอันแรกนั่นก็คือ 176.58.105.134 ส่งแพ็กเก็ต UDP ที่พอร์ต 123 สำหรับ 194.238.48.2 ntpนั่นคือสำหรับ ดังนั้นฉันเดาว่ามีคนพยายามใช้คอมพิวเตอร์ของคุณเป็นเซิร์ฟเวอร์ ntp ซึ่งอาจเกิดจากข้อผิดพลาด

สำหรับอีกสายหนึ่งนั้นคือสิ่งที่อยากรู้อยากเห็นนั่นคือทราฟฟิกบนลูปแบ็คอินเทอร์เฟซ (แท้จริง) นั่นคือไม่ไปไหนมันไปมาจากคอมพิวเตอร์ของคุณ

ฉันจะตรวจสอบว่าสิ่งที่จะฟังบน TCP พอร์ต 30002 ด้วยหรือlsofnetstat

นอกเหนือจากที่กล่าวมาแล้วยังเป็นไปได้ที่จะสรุปสิ่งที่จะถูกบันทึกไว้โดยการตรวจสอบกฎiptables โดยเฉพาะกฎการจับคู่ที่ถูกบันทึกไว้สามารถกรองได้sudo iptables -L | grep -i "log"ดังนี้:

ufw-before-logging-input  all  --  anywhere             anywhere
ufw-after-logging-input  all  --  anywhere             anywhere
ufw-before-logging-forward  all  --  anywhere             anywhere
ufw-after-logging-forward  all  --  anywhere             anywhere
ufw-before-logging-output  all  --  anywhere             anywhere
ufw-after-logging-output  all  --  anywhere             anywhere
Chain ufw-after-logging-forward (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW BLOCK] "
Chain ufw-after-logging-input (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
Chain ufw-after-logging-output (1 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
ufw-logging-deny  all  --  anywhere             anywhere             ctstate INVALID
Chain ufw-before-logging-forward (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-before-logging-input (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-before-logging-output (1 references)
LOG        all  --  anywhere             anywhere             ctstate NEW limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT] "
Chain ufw-logging-allow (0 references)
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW ALLOW] "
Chain ufw-logging-deny (2 references)
LOG        all  --  anywhere             anywhere             ctstate INVALID limit: avg 3/min burst 10 LOG level warning prefix "[UFW AUDIT INVALID] "
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 10 LOG level warning prefix "[UFW BLOCK] "
ufw-logging-deny  all  --  anywhere             anywhere             limit: avg 3/min burst 10
LOG        all  --  anywhere             anywhere             limit: avg 3/min burst 5 LOG level warning prefix "[UFW LIMIT BLOCK] "
Chain ufw-user-logging-forward (0 references)
Chain ufw-user-logging-input (0 references)
Chain ufw-user-logging-output (1 references)

กฎเหล่านี้มีไว้สำหรับกฎเริ่มต้นส่วนใหญ่ การตรวจสอบผลลัพธ์ข้างต้นเผยให้เห็นufw-before-*โซ่เพื่อสร้างบันทึก [UFW AUDIT .. ]

ฉันไม่ได้เป็นผู้เชี่ยวชาญใหญ่ใน iptables และคู่มือ UFW ไม่เป็นประโยชน์มากเกี่ยวกับเรื่องนี้ แต่เท่าที่ผมสามารถบอกกฎการจับคู่นั่งห่วงโซ่ใน/etc/ufw/before.rules

ตัวอย่างเช่นบรรทัดด้านล่างอนุญาตให้มีการเชื่อมต่อแบบวนรอบซึ่งอาจเรียกสองบรรทัดตัวอย่างล่าสุดในบันทึกของคุณ (บรรทัดที่ขึ้นต้นด้วย [UFW AUDIT] IN = lo)

# rules.before
# ....
# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT
# ....

ในส่วนของฉันฉันได้รับLLMNRแพ็กเก็ตจำนวนมากที่พอร์ต 5353:

Mar 17 21:02:21 pc kernel: [133419.183616] [UFW AUDIT] IN=wlp2s0 OUT= MAC= SRC=192.168.1.2 DST=224.0.0.251 LEN=146 TOS=0x00 PREC=0x00 TTL=255 ID=22456 DF PROTO=UDP SPT=5353 DPT=5353 LEN=126 

ซึ่งฉันคิดว่ามีสาเหตุมาจากสิ่งต่อไปนี้ในrules.before:

# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

วิธีหนึ่งในการยกเลิกการใช้งานดังกล่าวคือทำการปิดไฟต่อไปนี้:

sudo ufw deny 5353