سوال در مورد رول نویسی اسنورت

[reza699]

میخوام بدونم آیا در اسنورت میشه رولی نوشت که به جای یک پکت در واقع یک جریان از پکت ها رو چک کنه ؟ مثلا فرض کنید من میخوام رولی بنویسم که پکت های TCP رو چک کنه که اگر فلگ های S و F اون ست شده بودن ، بعد بره برگرده دنبال پکت های ICMP که از مبدا 192.168.2.2 دارن میان و همچنین اگر 20 تا پکت UDP هم در کمتر از 100 ثانیه از مبدا 192.168.2.3 رسیده بود ، اون وقت این رفتارو لاگ کن !
چیزی که خودم سرچ کردم به نظرم رسید شاید با رول های activate/dynamic شدنی باشه . کسی نظری داره ؟

در همین راستا ØŒ دنبال یه رول بودم Ú©Ù‡ پکت های Øمله TearDrop رو تشخیص بده . این رول رو اغلب جاها پیدا کردم Ú©Ù‡ کاملا مسخره Ùˆ بی کاربرده

alert udp $EXTERNAL_NET any -> $HOME_NET any (msg:"DOS Teardrop attack"; fragbits:M; id:242; classtype:attempted-dos; sid:270; rev:6;)

باز رسیدم به همون بØØ« بالا Ú©Ù‡ کردم ØŒ اگه میشد یه جریانی از پکت هارو Ú†Ú© کرد ØŒ اون وقت رول مناسب واسه teardrop رو هم میشد نوشت . نظریات Ùˆ تجربیات لطفا .

[ciph3r]

سلام دوست عزیز
مطلبتو خوندم و دیدم که هدفت چیه اما اگر بخوای برای تمامی tcp ها این رول رو بزنی که چک بکنه واقعا سنگین میششه و اگر شبکه کوچیکی داری مشکلی نیست ! چون یادن نره نرم افزار هست و فشار زیاد میاره !
خوب activate و Dynamic جزو رول های Headers قرار میگیرند که زیر مجموعه رول action هستند که خود رول action به صورت دیفالت و معمول 5 تا option داره به اسم های alert, log, pass, activate, and dynamic.
Øالا شما میتونید از همه آنها استفاده بکنی
تو زیر کاربردشون رو می نویسم :

1. alert - generate an alert using the selected alert method, and then log the packet
2. log - log the packet
3. pass - ignore the packet
4. activate - alert and then turn on another dynamic rule
5. dynamic - remain idle until activated by an activate rule , then act as a log rule
6. drop - block and log the packet
7. reject - block the packet, log it, and then send a TCP reset if the protocol is TCP or an ICMP port unreachable
message if the protocol is UDP.
8. sdrop - block the packet but do not log it.

اگر بخوای لاگ بگیری Ú©Ù‡ یه قضیه دیگست اما اگر بخوای پکت Ú©Ù‡ بابه میلت نیست رو Drop یا بفرستی جای به نظر من در Øالت Ùˆ مد inline Mode قرارش بده Ú©Ù‡ اونم به Ø´Ú©Ù„ Drop,Rejeact,sdrop هستش Ú©Ù‡ توضیØشو بالا نوشتم.
اگر فقط tcpdump میکنی از این استفاده کن :

[LEFT]ruletype suspicious
{
type log
output log_tcpdump: suspicious.log
}[/LEFT] 

اینم برای Syslog and Mysql L

[LEFT]ruletype redalert
{
type alert
output alert_syslog: LOG_AUTH LOG_ALERT
output database: log, mysql, user=snort dbname=snort host=localhost
}[/LEFT] 

به این sample ها خوب نگاه کن :

[LEFT]
alert tcp !192.168.1.0/24 any -> 192.168.1.0/24 111 \
(content:"|00 01 86 a5|"; msg:"external mountd access";)

alert tcp ![192.168.1.0/24,10.1.1.0/24] any -> \
[192.168.1.0/24,10.1.1.0/24] 111 (content:"|00 01 86 a5|"; \
msg:"external mountd access";)[/LEFT] 

برای Ú†Ú© کردن فلگ Ùˆ Ù…Øتوا میتونی از نوع رول Options استفاده Ú©Ù†ÛŒ Ú©Ù‡ مثالش رو تو زیر برات گذاشتم Ùˆ بر اسای هدف خودت مثال رو ادیت Ú©Ù† :

[LEFT]activate tcp !$HOME_NET any -> $HOME_NET 143 (flags:PA; \
content:"|E8C0FFFFFF|/bin"; activates:1; \
msg:"IMAP buffer overflow!";)
dynamic tcp !$HOME_NET any -> $HOME_NET 143 (activated_by:1; count:50;)[/LEFT] 

خوب برای اینکه گفتی تعداد پکت بر اسای زمان و اینکه به قول خودت از پکت UDP از زمان کمتر از 100 ثانیه و از مبدا رسیده بود لاگ کنه!
برای این کارت میتونی از فرمت ttl استفاده کنی و هم اینکه از Filter_detection
برای filter_detection تو میتونی نعداد پکت ها را شمارش کنی و بر اساس زمان که خودت تو رول تعریف می کنی بگی که لاگ کنه یا پکت را Drop کنه . جالبه که برای آی پی مبدا و مقصد می تونی استفاده کنی
مثالی Ú©Ù‡ من گذاشتم برای tcp هست Ùˆ drop هم میکنه ! Øالا خودت Ù…ÛŒ تونی بر اساس هدفت اون رو تغیرش بدی :

[LEFT]
drop tcp 10.1.2.100 any > 10.1.1.100 22 ( \
msg:"SSH Brute Force Attempt";
flow:established,to_server; \
content:"SSH"; nocase; offset:0; depth:4; \
detection_filter:track by_src, count 30, seconds 60; \
sid:1000001; rev:1;)[/LEFT] 

ولی توجه کن که مقادی count و secons نباید 0 باشن .

ولی در کل سعی کن از مستندات خود شرکتشون استفاده کنی چون تکمیل نوشتن .

[reza699]

مرسی از وقتی که گذاشتی فریاد جان. در واقع راه اصلی که منو به جواب رسوند preprocessor ها در اسنورت بودن . این فصل کتاب قضیه رو کاملا واسم روشن کرد . مثالا اگر در مثال هاش دقت کنی واسه teardrop که گفتم ، اومده از preprocessor به اسم Frag2 استفاده کرده . هر چند که من چک کردم ، تو نسخه جدید اسنورت ، نسخه جدید این preprocessor شده Frag3 .
همچنین این preprocessor به اسم Flow فک کنم چیزی باشه که به دردم بخوره .
بازم ممنون .
پ . ن : اون OSPF سیسکو رو هم دستت نگه ندار بده به ما ثواب داره :D

[ciph3r]

آره بØØ« Ú©Ù‡ گفتی خوبه Ùˆ به جوای دقیق Ù…ÛŒ رسی Ùˆ از کتابی Ú©Ù‡ لینک دادی خوبه Ùˆ بدون نگاه کردن آدم تضمین میده چون برای انتشارات اریلی هست :دی
همونطور که گفتم به نظرم از مستندات خودشون استفاده کنی بهتره بخصوص مستنی که همراه برنامه میزان به اسم Snort Manual
تا جای که یادم باشه به نظرم مجله امنیتی snoop هم چند سال پیش امیر بود یا عادل در مورد snort گفته بود .

اگر هم سوالی یا مشکلی داشتی همینجا بگو Ú©Ù‡ با هم یا با دوستان Øلش کنیم .


برای OSPF هم من اولش یک فازر نوشتم با libnet لینوکس و بعد از اتچ کردن کرنل Cisco IOS اون رو فاز می کردم اما بعدش از یه جای مجبور به دزدی شدم و سورس بعضی از پروتکل های سیسکو Leak شده بود و در عرض 1 روز جمع شد در سال 2007 ، دیدم که یه جا داره و پرایویت گذاشته و منم مجبور به دزدی شدم .
بسیار Øجمش زیاده Ùˆ با سی هستش Ùˆ میتونم بگم Ú©Ù‡ 60% سورس با لینوکسی Ú©Ù‡ برای جونیپر Ùˆ میکروتیک Ùˆ سایر استفاده میشه یکیه اما خیلی جاهاش مخصوص سیسکو Ùˆ بخصوص جاهای Ú©Ù‡ باعث امنیت میشه چون شرط گذاشتن .

بهر Øال تا Øدودی از سورس رو آنالیز کردم Ùˆ source code review and Code Auding کردو Ùˆ با استفاده از روش های Threat Modeling باعث شد Ú©Ù‡ در ospf lsa یه باگ بده Ú©Ù‡ memory Corruption هست Ú©Ù‡ باید اکسپلویت مبشه Ùˆ میشه اما فعالا Ú©Ù‡ به صورت poc هست میتونی ریموت هر روتر را دیداس بشه ! توی gns3 خیلی IOS هارو تست کردم Ùˆ شد اما روی all version نمیدونم . برای اکسپلویت هم باید یه Protection به اسم Cheack Heaps رو بایپس بشه Ùˆ یکی دیگه به اسم Watch Dog Timer Ú©Ù‡ یکیشون بایپس شده Ùˆ دومی مونده Ú©Ù‡ اونم میشه اما خوب هم سرم شلوغه هم گشادی Ùˆ تنگی هم باعثه :دی

سورسش هم خیلیش مونده چک کنم و مطمئنم توی BGP و RIP , و چیزای دیگه باگ میده .

به نظرت ارزش پابلیک داره ؟ :دی
تو باشی می کنی ؟ یا می فروشی ؟ نهههه

[reza699]

عالیه . تست های خوبی انجام دادی . اگه سخت افزار داشتی Ú©Ù‡ دیگه عالی تر هم میشد. چون gns3 (ع) Ú©Ù‡ خودت میدونی همین جوریش کرش میکنه Ùˆ اطمینان زیادی بهش نیست . خب ØŒ واسه اینکه این تاپیک هم از موضوع خودش خارج نشه ØŒ به زودی یه تاپیک جدید باز میکنم Ùˆ راجع به OSPF attack صØبت میکنم . اونجا منتظرت هستم .
ممنون . زØمت کشیدی .

[ciph3r]

سخت افزار هم برای خودم خریدم . یکیشون یه روتر 1941 هست اما خوب من چون با IOS کار می کنم توی gns3 میشه slot ور رفت و یه تست کوچیک کرد . چون من کرنل سیستم عامل رو دیباگ می کنم .
اما سخت افزار برای وقتیه که بخوای زیر بار ببری نه آسیب پذیری .
برای تاپیک جدید هم در خدمتم Ùˆ دوست دارم بØØ« های فنی بشه اما نه بدون Ú©Ù„ Ú©Ù„ Ùˆ با مستندات کافی !

در خدمتم