3.4 General Rule Options
Subsections 3.4.1 msg 3.4.1.1 Format 3.4.2 reference 3.4.2.1 Format 3.4.2.2 Examples 3.4.3 gid 3.4.3.1 Format 3.4.3.2 Example 3.4.4 sid 3.4.4.1 Format 3.4.4.2 Example 3.4.5 rev 3.4.5.1 Format 3.4.5.2 Example 3.4.6 classtype 3.4.6.1 Format 3.4.6.2 Example 3.4.6.3 Warnings 3.4.7 priority 3.4.7.1 Format 3.4.7.2 Examples 3.4.8 metadata 3.4.8.1 Format 3.4.8.2 Examples 3.4.9 General Rule Quick Reference
ルールオプション
ルールオプション 2.3 ルールオプション ルールオプションã¯Snortä¸æ£ä¾µå…¥æ¤œçŸ¥ã‚¨ãƒ³ã‚¸ãƒ³ã®å¿ƒè‡“部ã§ã€åŠ›å¼·ã•ã¨æŸ”軟性㫠使ã„ã‚„ã™ã•ã‚’å…¼ãå‚™ãˆã¦ã„ã¾ã™ã€‚ã™ã¹ã¦ã®Snortルールオプションã¯ã‚»ãƒŸã‚³ãƒãƒ³ ``;''æ–‡å—ã§åŒºåˆ‡ã‚‰ã‚Œã¾ã™ã€‚ã¾ãŸã€ãƒ«ãƒ¼ãƒ«ã‚ªãƒ—ションã¯ã‚³ãƒãƒ³``:''ã§ã‚ーワード㨠引数を区切りã¾ã™ã€‚ 2.3.0.1 利用å¯èƒ½ãªã‚ーワード msg アラートやパケットãƒã‚°å†…ã«ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã‚’出力ã—ã¾ã™ logto 標準ã®å‡ºåŠ›ãƒ•ã‚¡ã‚¤ãƒ«ã§ã¯ãªãユーザãŒæŒ‡å®šã—ãŸãƒ•ã‚¡ã‚¤ãƒ«åã«ãƒ‘ケットを記録ã—ã¾ã™ ttl IPヘッダã®TTLフィールドã®å€¤ã‚’検査ã—ã¾ã™ tos IPヘッダã®TOSフィールドã®å€¤ã‚’検査ã—ã¾ã™ id 特定ã®å€¤ã«é–¢ã—ã¦IPヘッダã®ãƒ•ãƒ©ã‚°ãƒ¡ãƒ³ãƒˆIDフィールドを検査ã—ã¾ã™ ipoption 特定ã®ã‚³ãƒ¼ãƒ‰ã«é–¢ã—ã¦IP optionフィールドを監視ã—ã¾ã™ fragbits IPヘッダã®ãƒ•ãƒ©ã‚°ãƒ¡ãƒ³ãƒ†ãƒ¼ã‚·ãƒ§
ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹æ¤œçŸ¥ã‚·ã‚¹ãƒ†ãƒ å°Žå…¥(Snort+BASE+Oinkmaster) - CentOSã§è‡ªå®…サーãƒãƒ¼æ§‹ç¯‰
クラッカーã«ã‚ˆã‚‹Linuxサーãƒãƒ¼ã¸ã®ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã‚’検知ã™ã‚‹ã‚·ã‚¹ãƒ†ãƒ (IDS=Intrusion Detection System)ã‚’å°Žå…¥ã™ã‚‹ã€‚ ã“ã“ã§ã¯ã€ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹æ¤œçŸ¥ã‚·ã‚¹ãƒ†ãƒ ã«ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯åž‹IDSã®Snortã‚’å°Žå…¥ã™ã‚‹ã€‚ ã¾ãŸã€SnortãŒæŠ½å‡ºã—ãŸä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ãƒã‚°ã‚’Webブラウザ上ã§ç¢ºèªã§ãるよã†ã«ã™ã‚‹ãŸã‚ã«BASEã‚‚å°Žå…¥ã™ã‚‹ã€‚ ãªãŠã€SnortãŒä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã®åˆ¤æ–ã‚’ã™ã‚‹ãŸã‚ã«å‚ç…§ã™ã‚‹ãƒ«ãƒ¼ãƒ«ãƒ•ã‚¡ã‚¤ãƒ«ã®æœ€æ–°åŒ–ã¯ã€Oinkmasterã‚’å°Žå…¥ã—ã¦è‡ªå‹•åŒ–ã™ã‚‹ã€‚ ※Apacheã€MySQLインストール済ã§ã‚ã‚‹ã“㨠[root@centos ~]# yum -y install libpcap-devel　â†ã€€snortã®RPM作æˆã«å¿…è¦ãªãƒ‘ッケージインストール [root@centos ~]# wget http://dl.snort.org/snort-current/snort-2.8.4
Snortアラートã®ãŸã‚ã® Swatchè¨å®šä¾‹
デフォルトã§ç„¡åŠ¹ã«ãªã£ã¦ã„ãŸãƒ«ãƒ¼ãƒ«ï¼ˆSnort-2.3.3） # include $RULE_PATH/web-attacks.rules # include $RULE_PATH/backdoor.rules # include $RULE_PATH/shellcode.rules # include $RULE_PATH/policy.rules # include $RULE_PATH/porn.rules # include $RULE_PATH/info.rules # include $RULE_PATH/icmp-info.rules # include $RULE_PATH/chat.rules # include $RULE_PATH/multimedia.rules # include $RULE_PATH/p2p.rules #####################
Snort [ãŒã‚‰ããŸãƒãƒƒãƒˆ]
Libcapã¯å…ƒã€…å…¥ã£ã¦ã„ãŸã€‚libcap-1.10-26-i386 PCREã¯å…ƒã€…å…¥ã£ã¦ã„ãŸã€‚pcre-6.6-2.el5_1.7-i386 DAGã®ãƒªãƒã‚¸ãƒˆãƒªã‚’インストール # rpm -Uhv http://apt.sw.be/redhat/el5/en/i386/rpmforge/RPMS/rpmforge-release-0.3.6-1.el5.rf.i386.rpm # yum install libnet libnetfilter_conntrack libnetfilter_conntrack-devel Barnyardをダウンãƒãƒ¼ãƒ‰ã—ã¦ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ« # wget http://www.snort.org/downloads/74 # tar zxvf barnyard-0.2.0.tar.gz # cd barnyard-0.2.0 # ./configure # ma
snort-2.9.0.1をインストールã—ã¦ã¿ãŸ | é»’ã¶ã¡ãƒ¡ã‚¬ãƒã®blog
IDSã§ã‚ã‚‹snortをインストールã—ãŸæ™‚ã®å‚™å¿˜éŒ²ã§ã™ã€‚ ■使用OS CentOS 5.5 64bit ■マシンホストå kurobuti.local â– /etc/hostsã®æƒ…å ± 127.0.0.1 kurobuti.local snort localhost.localdomain localhost â– snortãƒãƒ¼ã‚¸ãƒ§ãƒ³ snort-2.9.0.1 ※最新版ã¯ä¸‹è¨˜URLã§ç¢ºèªã—ã¦ãã ã•ã„。 http://www.snort.org/snort-downloads? â– daqãƒãƒ¼ã‚¸ãƒ§ãƒ³ daq-0.3 ※最新版ã¯ä¸‹è¨˜URLã§ç¢ºèªã—ã¦ãã ã•ã„。 http://www.snort.org/snort-downloads? â– GUIツール base-1.4.5 adodb511 â– å¿…è¦ãªãƒ‘ッケージ mysql mysql-server mysql-bench mysql-devel htt
Japan Snort Users Group
snortã®è¨å®š /usr/local/snort ã«ã‚³ãƒ”ーã—ãŸsnort.confをエディタã§é–‹ãã€ã¾ãšã¯ç›£è¦–下ã«ç½®ããƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã€ã¾ãŸã¯ãƒžã‚·ãƒ³ã‚’è¨å®šã™ã‚‹ã€‚ var HOME_NET any　 any を監視ã—ãŸã„ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã«æ›¸ãæ›ãˆã‚‹ã€‚ ã“ã®éƒ¨åˆ†ã¸ã®è¨˜è¿°ã¯ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ç’°å¢ƒãŒ 192.168.1.0/255.255.255.0を例ã«æ›¸ã„ã¦ãŠã。 例１.192.168.1.0ã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã™ã¹ã¦ã‚’監視ã—ãŸã„å ´åˆ var HOME_NET 192.168.1.0/24 例２.192.168.1.1を監視ã—ãŸã„å ´åˆ var HOME_NET 192.168.1.1/32 例３．複数ã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã€è¤‡æ•°ã®ãƒžã‚·ãƒ³ã‚’監視ã—ãŸã„å ´åˆ ï¼ˆãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ï¼‰var HOME_NET [192.168.0.0/24,192.168.1.0/24] （マシン）　　　var HOME_NET[192.
Snort-2.6.x 起動スクリプト åŠã³èµ·å‹•ã«é–¢ã™ã‚‹è¨å®š
Snort 起動オプションã®è¨å®š (/etc/sysconfig/snort) Snort-2.6.x ??よりã€snort ã®èµ·å‹•ã‚¹ã‚¯ãƒªãƒ—ト(/etc/rc.d/init.d/snortd)ã¯ã€/etc/sysconfig/snort ã‚’å‚ç…§ã™ã‚‹ã‚ˆã†ã«å¤‰æ›´ã•ã‚Œã¦ã„ã¾ã™ã€‚ é…付ã•ã‚Œã¦ã„ã‚‹éŽåŽ»ã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚‚調ã¹ã¾ã—ãŸãŒã€ä»¥å‰é…布ã•ã‚Œã¦ã„ãŸã‚½ãƒ¼ã‚¹ã¨ç•°ãªã‚Šã€å¤‰æ›´ã•ã‚Œã¦ã„ã¾ã—ãŸã€‚ソース自体も rpm ã‚’æ„è˜ã—ãŸå†…容ã¨ãªã£ã¦ã„ã¾ã™ã€‚ アップグレードãŒå¤§å¤‰ãªã®ã§ç°¡å˜ã«ã—ã¦æ¬²ã—ã„ã®ã§ã™ãŒé…付ã•ã‚Œã¦ã„ã‚‹ パッケージ（rpm / src.rpm） ã¯çŸ›ç›¾ã—ã¦ã„る所ãŒæ•£è¦‹ã—ã¾ã™ã€‚ INTERFACE= èµ·å‹•å› æ•°ã«é–¢ã—ã¦ã¯ã€/etc/sysconfig/snort ã§æŒ‡å®šã—ã¾ã™ã€‚ /etc/sysconfig/snort ã§æŒ‡å®šå¯èƒ½ãªèµ·å‹•ã‚ªãƒ—ションã¯ä»¥ä¸‹ã®é€šã‚Šã§ã™ã€‚
ä¸æ£ä¾µå…¥æ¤œçŸ¥ã‚·ã‚¹ãƒ†ãƒ （snort）
１．ã¯ã˜ã‚㫠会社ã®è·å‹™ã§ç¤¾å†…ã‹ã‚‰ã®æƒ…å ±æµå‡ºã‚’防ã為ã«IDS/IPSã®å°Žå…¥ã‚’検討ã—ã¦ã„ãŸã€‚ One Point Firewallã‚’ã„ã†ã®ã‚’å°Žå…¥ã—よã†ã¨ã—ã¦ã„ãŸã®ã ãŒã€ã„ã‚ã„ã‚調ã¹ã¦ã„ãŸã‚‰ IDSã¨ã—ã¦FreeBSDã§ã‚‚snortを使用ã™ã‚‹äº‹ã«ã‚ˆã‚Šå¯èƒ½ã§ã‚る事ãŒåˆ†ã‹ã£ãŸã€‚ ãŠé‡‘ã‚‚ã‹ã‹ã‚‹ã®ã§ã€ãã®åˆ†ã‚’人件費ã«è€ƒãˆã¦è©¦ã—ã«ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã—ã¦å‹•ã‹ã—ã¾ã—ãŸã€‚ ãã—ã¦ã€ã†ã¾ãã„ãæ£å¼ç¨¼åƒã¸ã¨é€²ã‚ã¦ã„る所ã§ã™ã€‚ 自宅サーãƒãƒ¼ã®æŽ²ç¤ºæ¿ã«å®£ä¼åºƒå‘Šã®æ›¸ãè¾¼ã¿ãŒã†ã–ã„ã®ã§ã€ã“れを利用ã—㦠排除ã§ããªã„ã‹ãƒˆãƒ©ã‚¤ã—ã¦è¦‹ã‚‹ç‚ºã«å°Žå…¥ã—ã¦è¦‹ãŸã€‚ ã—ã‹ã—ルールãŒä¸Šæ‰‹ã作れãªã„ã®ã§ã€æœ¬æ¥ã®ç”¨é€”ã§ã‚ã‚‹ä¸æ£ä¾µå…¥ã¨ã„ã†æ„味㧠インストールã—稼åƒã—ã¦è¦‹ã‚‹äº‹ã«ã™ã‚‹ã€‚ 最近ã§ã¯ã‚´ãƒŸãƒ¡ãƒ¼ãƒ«ã‚‚多ãã€æŽ²ç¤ºæ¿ã‚‚邪é”ãªã‚¢ã‚¯ã‚»ã‚¹ã€ã„ã‚ã„ã‚ã¨ã¶ã£ãã†ãªã®ã§ 皆ã•ã‚“ã‚‚ã„ã‚Œã¦ã¿ã¦ã¯ã„ã‹ãŒã§ã—ょã†ã‹ï¼Ÿ ２．インストール ã¾ãšã€snort本体をインストールã—ã¾
sourceforge.jp
We’re getting things ready Loading your experience… This won’t take long.
Snortã®å‹•ä½œä¸ã«çµ±è¨ˆã‚’見る(æ£å¸¸æ€§ãƒã‚§ãƒƒã‚¯) - labunix 㮠ラボゆã«ã£ãã™
â– snortã®èµ·å‹•ãƒã‚§ãƒƒã‚¯ $ sudo /etc/init.d/snort status Status of snort daemon(s): eth0 OK. ■全体ã®ãƒ•ã‚£ãƒ«ã‚¿ãƒ«ãƒ¼ãƒ«ãƒã‚§ãƒƒã‚¯(local.rulesã‚’è¿½åŠ ã€ãƒ«ãƒ¼ãƒ«å…¨ä½“ã‚’æ›´æ–°ã—ãŸæ™‚ãªã©) 「-Tã€ã¯ãƒ†ã‚¹ãƒˆã‚ªãƒ—ションã€ã€Œ-n1ã€ã¯1パケットをå—ä¿¡ã—ãŸã‚‰çµ‚了ã™ã‚‹ã€‚ $ sudo snort -T -c /etc/snort/snort.conf 2>&1 | grep -i "warn\|error\|exit" ERROR: /etc/snort/rules/bad-traffic.rules(27): Couldnt resolve hostname DEBIAN_SNORT_HOME_NET Fatal Error, Quitting.. â– DEBIAN_SNORT_HOME_NETãŒåŽŸå› ã®æ§˜åãªã®ã§ã€ä¿®æ£ã€‚ $ sud
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
出力モジュール
2.6 Output Modules
Snort 2.9 Essentials: The DAQ
プリプãƒã‚»ãƒƒã‚µ
Sign in - Google Accounts
barnyardã®ãƒ‰ã‚ュメントã£ã¦ - ã“ã“ã«è¨˜ã™
Install snort and BASE on FreeBSD
Snort / Barnyard2 / BASE – Complete installation on Slackware | Niels Horn's Blog
CentOS 6 - Snort - ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯åž‹IDS : Server World
{{#tags}}- {{label}}
{{/tags}}