iptables を使った Heartbleed 攻撃検知

OpenSSL で見つかった Heartbleed Bug 問題は既に対策済の人も多いと思います。
この問題の怖いところはログに攻撃の痕跡が残らないことなのですが、F-Secure のブログで iptables を使った攻撃検知のやり方が紹介されていたのでメモ。

エフセキュアブログ : Openssl Heartbleed 攻撃の検知について

iptables log rules

iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT"

iptables block rules

iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP

† CentOS 5.x では動かないので注意

ちなみにこの方法は CentOS 5.x 系では動かないようで、下記のようなエラーが出てしまいました。CentOS 6.x では普通に設定できました。