一、操作系统版本

centos 7.3

二、漏洞列表

1、ICMP timestamp请求响应漏洞

2、允许Traceroute探测

三、修复方法

# ICMP timestamp请求响应漏洞

- 方式一
firewall-cmd --add-icmp-block=time-exceeded --permanent

- 方式二
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p ICMP --icmp-type timestamp-request -m comment --comment "deny ICMP timestamp" -j DROP
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p ICMP --icmp-type timestamp-reply -m comment --comment "deny ICMP timestamp" -j DROP

# Traceroute探测漏洞

- 方式一
firewall-cmd --add-icmp-block=timestamp-reply --permanent
firewall-cmd --add-icmp-block=timestamp-request --permanent
- 方式二
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p ICMP --icmp-type 11 -m comment --comment "deny traceroute" -j DROP
 

四、防火墙支持的类型

firewall-cmd --get-icmptypes

五、重启生效扩展指令

# 重新加载生效
firewall-cmd --reload

查看规则
firewall-cmd --direct --get-all-rules


检查新添加的规则是否有效，检查命令：iptables -L -n

五、操作系统发布日志

 https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7

六、参考文章

CentOS7修复几个ICMP漏洞
https://blog.csdn.net/weixin_34186931/article/details/93092048
https://blog.csdn.net/chi0830/article/details/100590045