Amaliy mashg’ulot Snort hujumini aniq

snort-dev-l../log

Amaliyot natijasida /qayerdan, qayerdan izlash kerak, kerakli joyni qanday ko'rsatish kerak?/, snort. log.. Yangi fayl nomlarining oxiridagi raqamlar fayllarni yaratishda ziddiyatlarni oldini olish uchun vaqt belgilaridir. /afzalroq jurnal fayliga misol/

4. Tarmoqqa kirishni aniqlash rejimi

"Snort" ning uchinchi rejimi - Tarmoqqa tajovuzni aniqlash (NIDS) rejimi.

O'zining asosiy shaklida Snort qoidasi /ular qayerda saqlanadi?/ ikki qismdan iborat: sarlavha va parametrlar. Quyida qoidaga misol keltirilgan.

alert tcp any -> any any (content: "www. "; msg: "Kimdir youtube-ga hozir tashrif buyurmoqda"; sid:1000002; rev:1)

Qoidalar tuzilishi modeli taqdim etilishi mumkinmi / u qattiq kodlanganmi yoki uni o'zgartirish mumkinmi? kvadrat qavs ichidagi elementlar ixtiyoriy, deb umid qilamiz. ma'lum. Ammo ular orasida maxsus ajratgichlar bormi? / quyidagi sxema bo'yicha:

<действие_правила> <протокол> <порт> <оператор_направления>

<порт>([meta_ma'lumotlar] [paket_kontent_ma'lumotlari]

[sarlavhadagi_ma'lumotlar] [aniqlashdan_keyin_harakat])

Qoidalarning harakatlari quyidagi toifalarga bo'linadi:

1. ogohlantirish - Tanlangan usuldan foydalangan holda ogohlantirish hosil qiling va ma'lumotni jurnal tizimiga o'tkazing.

2. jurnal - Paket ma'lumotlarini yozib olish uchun jurnal tizimidan foydalaning.

3. o'tish - Paketga e'tibor bermang.

4. faollashtirish - Boshqa dinamik qoidadan foydalaning.

5. dinamik - Faol qoida bajarilgandan so'ng, ro'yxatga olish protsedurasi bilan qoida faollashtiriladi.

6. tushirish - Dasturiy ta'minot xavfsizlik devori yordamida paketni tashlab yuboring va ma'lumotlarni jurnalga yozish tizimiga o'tkazing

7. tushirish - Dasturiy ta'minot xavfsizlik devori bilan paketni tashlab yuboring va ro'yxatga olish tizimidan foydalanmang.

8. rad qilish - Xavfsizlik devoridan foydalanib, agar protokol TCP bo'lsa, paketdan voz keching yoki jurnal fayliga xabar yozing: agar paket UDP protokoli orqali kelsa, ICMP porti mavjud emas.

Snort qoidasining ikkinchi qismi aniqlanishi kerak bo'lgan trafikning qo'shimcha tafsilotlarini belgilaydigan variantlardir. Siz TCP/sarlavhasidagi maydonlar toʻplami yoki paketning foydali yuki boʻyicha qidirishingiz mumkin. Har bir variantdan keyin qo'shtirnoq va siz izlayotgan qiymat qo'yilishi kerak. Siz ularni nuqta-vergul bilan ajratib, bir nechta variantni qo'shishingiz mumkin. Quyidagilar to'g'ri variantlardir.