このiptablesルールは何を意味しますか？

Question

私が働いているいくつかのプロジェクトでは、このiptablesのルールを見つけました：

-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP

をこのルールが何を意味するのでしょうか？どのようにしてネットワークをより安全にしていますか？

Answer 1

「新しいTCP接続を初期化し、SYN制御ビットがFIN、SYN、RST、ACKの間で設定されていないすべての着信セグメントを破棄」することができます。 （here参照）。

接続を初期化するために使用されるTCPセグメントには、SYN制御ビットが設定されている必要があります。また、このルールでは、ACKスキャンのようなSYN制御ビットが設定されていないセグメントを含む別のport scan techniquesの使用を避けると思います。潜在的な攻撃者に情報を提供する可能性のあるRSTセグメントを送信する代わりに、このセグメントを静かに破棄します。