- 论坛徽章:
- 1
|
|
在下一章中，你将了解更多的关于Snort规则的信息，同时你也将了解如何定义自己的规则。\r\n classification.config文件中包括了关于Snort规则分类的信息，你将在下一章中了解更多信息。在本书的例子中，Snort的所有源代码文件在/opt/snort-1.9.0目录中，如果你用的是不同版本的Snort,该目录也会不同。\r\n Reference.config文件中罗列了一些关于各种告警信息的参考网站的URL,这些参考将在Snort规则中引用，你会在下一章了解更多信息。典型的reference.config文件如下所示：\r\n # $Id: reference.config,v 1.3 2002/08/28 14:19:15 chrisgreen\r\nExp $\r\n# The following defines URLs for the references found in the\r\nrules\r\n#\r\n# config reference: system URL\r\nconfig reference: bugtraq http://www.securityfocus.com/bid/\r\nconfig reference: cve http://cve.mitre.org/cgi-bin/\r\ncvename.cgi?name=\r\nconfig reference: arachNIDS http://www.whitehats.com/info/IDS\r\n# Note, this one needs a suffix as well.... lets add that in a\r\nbit.\r\nconfig reference: McAfee http://vil.nai.com/vil/content/v_\r\nconfig reference: nessus http://cgi.nessus.org/plugins/\r\ndump.php3?id=\r\nconfig reference: url http://\r\n 注意：classification和reference.config文件都会被主配置文件snort.conf引用。\r\n 现在你可以用下面的命令运行Snort了，这个命令会显示启动信息，然后监听eth0接口。注意为了避免一些困扰，这个命令用命令行选项指定了snort.conf文件的绝对目录。\r\n[root@conformix snort]# /opt/snort/bin/snort -c /opt/snort/\r\netc/snort.conf\r\nInitializing Output Plugins!\r\nLog directory = /var/log/snort\r\nInitializing Network Interface eth0\r\n--== Initializing Snort ==--\r\nDecoding Ethernet on interface eth0\r\nInitializing Preprocessors!\r\nInitializing Plug-ins!\r\nParsing Rules file /opt/snort/etc/snort.conf\r\n+++++++++++++++++++++++++++++++++++++++++++++++++++\r\nInitializing rule chains...\r\nNo arguments to frag2 directive, setting defaults to:\r\nFragment timeout: 60 seconds\r\nFragment memory cap: 4194304 bytes\r\nFragment min_ttl: 0\r\nFragment ttl_limit: 5\r\nFragment Problems: 0\r\nStream4 config:\r\nStateful inspection: ACTIVE\r\nSession statistics: INACTIVE\r\nSession timeout: 30 seconds\r\nSession memory cap: 8388608 bytes\r\nState alerts: INACTIVE\r\nEvasion alerts: INACTIVE\r\nScan alerts: ACTIVE\r\nLog Flushed Streams: INACTIVE\r\nMinTTL: 1\r\nTTL Limit: 5\r\nAsync Link: 0\r\nNo arguments to stream4_reassemble, setting defaults:\r\nReassemble client: ACTIVE\r\nReassemble server: INACTIVE\r\nReassemble ports: 21 23 25 53 80 143 110 111 513\r\nReassembly alerts: ACTIVE\r\nReassembly method: FAVOR_OLD\r\nhttp_decode arguments:\r\nUnicode decoding\r\nIIS alternate Unicode decoding\r\nIIS double encoding vuln\r\nFlip backslash to slash\r\nInclude additional whitespace separators\r\nPorts to decode http on: 80\r\nrpc_decode arguments:\r\nPorts to decode RPC on: 111 32771\r\ntelnet_decode arguments:\r\nPorts to decode telnet on: 21 23 25 119\r\nConversation Config:\r\nKeepStats: 0\r\nConv Count: 32000\r\nTimeout : 60\r\nAlert Odd?: 0\r\nAllowed IP Protocols: All\r\nPortscan2 config:\r\nlog: /var/log/snort/scan.log\r\nscanners_max: 3200\r\ntargets_max: 5000\r\ntarget_limit: 5\r\nport_limit: 20\r\ntimeout: 60\r\n1273 Snort rules read...\r\n1273 Option Chains linked into 133 Chain Headers\r\n0 Dynamic rules\r\n+++++++++++++++++++++++++++++++++++++++++++++++++++\r\nRule application order: ->activation->dynamic->alert->pass-\r\n>log\r\n--== Initialization Complete ==--\r\n-*> Snort! <*-\r\nVersion 1.9.0 (Build 209)\r\nBy Martin Roesch (roesch@sourcefire.com, www.snort.org)\r\n正如你看到的这些输出信息，Snort已经开始监听eth0接口了。如果有任何包与规则匹配，Snort就会根据规则做出相应的动作并发出告警。告警可以以多种形式发出。在这种基本方式中，告警将被记录到/var/log/snort/alerts文件中。后面，你将看到产生其他形式的告警并将它们记录到数据库中的方法，同时你也会了解Snort告警的数据文件的格式。\r\n你可以在任何时候同时按下ctrl键和c键来终止Snort进程，这时Snort将显示程序活动的概要然后退出，如下所示：\r\n==========================================================\r\nSnort analyzed 65 out of 65 packets, dropping 0(0.000%)\r\npackets\r\nBreakdown by protocol: Action Stats:\r\nTCP: 55 (84.615%) ALERTS: 10\r\nUDP: 10 (15.385%) LOGGED: 10\r\nICMP: 0 (0.000%) PASSED: 0\r\nARP: 0 (0.000%)\r\nEAPOL: 0 (0.000%)\r\nIPv6: 0 (0.000%)\r\nIPX: 0 (0.000%)\r\nOTHER: 0 (0.000%)\r\nDISCARD: 0 (0.000%)\r\n==========================================================\r\nWireless Stats:\r\nBreakdown by type:\r\nManagement Packets: 0 (0.000%)\r\nControl Packets: 0 (0.000%)\r\nData Packets: 0 (0.000%)\r\n==========================================================\r\nFragmentation Stats:\r\nFragmented IP Packets: 0 (0.000%)\r\nFragment Trackers: 0\r\nRebuilt IP Packets: 0\r\nFrag elements used: 0\r\nDiscarded(incomplete): 0\r\nDiscarded(timeout): 0\r\nFrag2 memory faults: 0\r\n==========================================================\r\nTCP Stream Reassembly Stats:\r\nTCP Packets Used: 55 (84.615%)\r\nStream Trackers: 1\r\nStream flushes: 0\r\nSegments used: 0\r\nStream4 Memory Faults: 0\r\n==========================================================\r\nSnort received signal 2, exiting\r\n[root@conformix snort]#\r\n前面提到的方法是在前台运行Snort,用这种方式运行Snort你在终端会失去提示符。你可以用命令行开关-D来在后台运行Snort,这样Snort仍然将告警信息记录到/var/log/snort，同时你得到了提示符。注意，如果你是用RPM包安装的Snort,那么你可以用“/etc/init.d/snortd start”命令使Snort在后台运行。\r\n\r\n2．2．3 Snort启动时的错误\r\n 如果你是自己编译的Snort,启动Snort的时候，有时会看到下面的错误信息：\r\n [!] ERROR: Cannot get write access to logging directory \"/var/\r\nlog/snort\".\r\n(directory doesn\'t exist or permissions are set incorrectly\r\nor it is not a directory at all)\r\nFatal Error, Quitting..\r\n造成这个错误的原因是你没有创建/var/log/snort目录。运行“mkdir /var/log/snort”然后再启动Snort这个错误就消失了。\r\n如果你看到下面的错误信息，说明你在启动Snort没有在命令行中正确指定配置文件的时候没有指定配置文件。\r\nInitializing rule chains...\r\nERROR: Unable to open rules file: /root/.snortrc or /root//\r\nroot/.snortrc\r\nFatal Error, Quitting..\r\n注意：你可以下列情况，你可以不指定配置文件：\r\n你在配置文件所在的目录启动Snort。\r\n你已经将配置文件复制到你的属主目录中的.snortrc文件中。\r\n2．2．4 测试Snort\r\n 在启动Snort后，你需要知道Snort是否真正开始捕获数据并纪录入侵行为。如果你在前台用命令行选项“-A console”来启动Snort,你将在终端屏幕上看到告警信息。如果你用守护进程模式启动Snort而不用上面的命令行选项，那么告警就记录到/var/log/snort/alert文件中。\r\n 下面的命令将使你在控制台或者/var/log/snort/alert文件中看到一些告警信息，你可以判断Snort是否正常工作：\r\nping -n -r -b 255.255.255.255 -p \"7569643d3028726f6f74290a\" -c3\r\n 如果你用“-A console”命令行选项，你应该在屏幕上来到类似于下面的告警：\r\n 11/19-18:51:04.560952 [**] [1:498:3] ATTACK RESPONSES id\r\ncheck returned root [**] [Classification: Potentially Bad\r\nTraffic] [Priority: 2] {ICMP} 10.100.1.105 -> 255.255.255.255\r\n2．2．4．1 产生测试告警\r\n下面的名为snort-test.sh的脚本可以在http://authors.phptr.com/rehman/ ... 行Snort的时候用到。 |
|
免费注册
楼主: phiazat
发表于 2006-10-08 23:01
\r\n告警产生后，脚本将显示/var/log/snort/alert文件的最后18行信息。\r\n现在让我们来看看脚本的各个部门以及它是如何运作的。第52到55行的作用是提示用户输入ping包发送目标的地址，如果用户没有输入，脚本就会采用255.255.255.255这个地址，ping包就会作为广播包发送。\r\n第62行的作用是产生触发规则的ICMP包。注意在这里“7569643d3028726f6f74290a”\r\n事实上与“uid=0(root)”是等价的，这样的特征可以产生告警。\r\n 命令行参数-c3的作用是产生3个包。并且标准输入和错误都被重定向到/dev/null中去了，因此不会产生屏幕输出。你可以用“man ping”命令来察看ping命令的man page以获得更多的信息。\r\n 第64行到第73行的作用是检查ping命令的输出结果。输出的信息将显示ping命令执行结果的成功或者失败。如果命令失败，脚本就在这里退出，不再执行下面的过程。\r\n 如果告警成功产生，它们一定会出现在/var/log/snort/alert文件中。脚本88到93行用来检测这个文件是否存在，如果不存在，脚本就退出运行。\r\n 如果一切正常，第95行的作用就是显示/var/log/snort/alert文件的最后18行内容。\r\n 2．2．4．2 自动启动Snort并产生自动告警的脚本\r\n 如果你将Snort安装到/opt/snort目录下，你也可以用下面的脚本来自动启动和停止Snort并检验其工作是否正常。在运行这个脚本之前要确定Snort还没有启动，因为这个脚本将自己启动Snort。这个名为snort-test-auto.sh的脚本文件可以在本书的相关网站
0:59:6C:9:8B -> FF:FF:FF:FF:FF:FF type:0x800\r\nlen:0xFC\r\n192.168.1.100:138 -> 192.168.1.255:138 UDP TTL:128 TOS:0x0 ID:48572\r\nIpLen:20 DgmLen:238\r\nLen: 218\r\n11 0E 82 D5 C0 A8 01 64 00 8A 00 C4 00 00 20 46 .......d...... F\r\n43 46 43 43 4E 45 4D 45 42 46 41 46 45 45 50 46 CFCCNEMEBFAFEEPF\r\n41 43 41 43 41 43 41 43 41 43 41 43 41 41 41 00 ACACACACACACAAA.\r\n20 41 42 41 43 46 50 46 50 45 4E 46 44 45 43 46 ABACFPFPENFDECF\r\n43 45 50 46 48 46 44 45 46 46 50 46 50 41 43 41 CEPFHFDEFFPFPACA\r\n42 00 FF 53 4D 42 25 00 00 00 00 00 00 00 00 00 B..SMB%.........\r\n00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................\r\n00 00 11 00 00 2A 00 00 00 00 00 00 00 00 00 E8 .....*..........\r\n03 00 00 00 00 00 00 00 00 2A 00 56 00 03 00 01 .........*.V....\r\n00 01 00 02 00 3B 00 5C 4D 41 49 4C 53 4C 4F 54 .....;.\\MAILSLOT\r\n5C 42 52 4F 57 53 45 00 0C 00 A0 BB 0D 00 42 41 \\BROWSE.......BA\r\n54 54 4C 45 43 4F 57 53 00 00 00 00 01 00 03 0A TTLECOWS........\r\n00 10 00 80 D4 FE 50 03 52 52 2D 4C 41 50 54 4F ......P.RR-LAPTO\r\n50 00 P.\r\n=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+\r\n11/20-16:20:38.459702 0
ing with TTL=100\"; \\\r\nttl:100