Amaliy mashg’ulot Snort hujumini aniq

4. O'z imzolaringizni qo'shish

Snort juda moslashuvchan va IDSni sozlash oson. Uning fazilatlaridan biri bizga hujum imzolarini o'zimiz qo'shishimizga imkon beradi (yoki aytganimdek, bu qoidalarga o'xshaydi). Bizda *.rules fayllarida shunday qoidalar mavjud. Qoidalarning sintaksisi juda oddiy:

HARAKAT PROTO IP_ADDR1 PORT1 YO‘NALI IP_ADDR2 PORT2 [ (OPSIONLAR) ]

Keling, qoida maydonlarini batafsil ko'rib chiqaylik:

Harakat maydonida ma'lum bir qoidaga mos keladigan tarmoq paketi topilganda harakatlarni belgilaydigan uchta asosiy ko'rsatma mavjud: o'tish, jurnal va ogohlantirish.
o'tish- paketga e'tibor bermaslik

jurnal- paket jurnal fayliga yozilishi uchun jurnal ro'yxatga olish tartibiga o'tkazilishi kerak

ogohlantirish qoidaga mos keladigan paket topilganda bildirishnoma hosil qiladi

Paket protokoli tcp, udp, icmp bo'lishi mumkin

Variant nomidan ko'rinib turibdiki, bu maydon IP manzilini bildiradi. har qanday barcha mumkin bo'lgan manzillarni o'rnatish imkonini beradi. Ramz! shartni o'zgartiradi, ya'ni. !192.168.168.0/24 har qanday pastki tarmoq bo'lmagan 192.168.168.0/24 degan ma'noni anglatadi. Vergul bilan ajratilgan bir nechta IP manzillarni sanab o'tishingiz mumkin

Bitta port raqamiga qo'shimcha ravishda siz ikkita nuqta bilan ajratilgan portlar oralig'ini belgilashingiz mumkin, masalan, 6000:6010, belgi ! shartni o'zgartiradi va har qanday barcha portlarni bildiradi

DIRECTION

Paket harakati yo'nalishini belgilaydi:

-> (bir tomonlama) - qoida faqat IP_ADDR1 dan IP_ADDR2 ga keladigan paketlarga qo'llaniladi;

(ikki tomonlama) - paketning harakat yo'nalishi rol o'ynamaydi

Qavslar ichiga olingan parametrlar qoidaning ixtiyoriy qismidir, lekin ular tahdid haqida xabar beruvchi xabar matnini belgilaydi, qoida ishga tushirilganda qo'shimcha harakatlarni va tahlil qilingan paketlar uchun ushbu qoidaga mos keladigan qo'shimcha shartlarni belgilaydi. Parametrlar bir-biridan nuqtali vergul bilan ajratiladi va parametr kalit so'zi uning argumentidan ikki nuqta bilan ajratiladi.

Qoidaga mos keladigan qo'shimcha shartlarni belgilaydigan parametrlar: