問題タブ [snort]

Snort ベースの侵入防止システムを導入する必要があります。

私はこれがまったくの初心者なので、あらゆる種類のヘルプ、初心者向けのリファレンスをいただければ幸いです。

また、Snort のドキュメントでは Honeynet Snort Inline Toolkit について説明していますが、それへの利用可能なリンクは 404 を返しています。Honey net で確認しましたが、見つかりませんでした。

また、カスタムプラグインもsnort用に作成できるというドキュメントを読みましたが、そのためのJavaライブラリはありますか?

助けてください。

前もって感謝します

アシッシュ

ユーザーが「マルウェア」という単語を含むページにアクセスしようとすると、基本的にすべてのパケットをログに記録するsnortのルールを作成しようとしています。これは私が持っているもので、ガイドを求めているだけです。したがって、基本的にWebページにフレーズが含まれると、アラートが表示されます。

文字列パターンを PCRE 正規表現パターンに変換するための変換ライブラリはありますか。

サンプル パターン:

application/ms-tnef ARKADMIN_GET_ 34 ^MAIL FROM|3a| ?

2|

前もって感謝します。

pyparsing モジュールを使用した Snort ログの解析に問題があります。

問題は、Snort ログ (空白行で区切られた複数行のエントリがある) を分離し、行ごとに読み込んで文法が各行で機能することを期待するのではなく、pyparsing で各エントリをチャンク全体として解析することです (明らかに、そうではありません。)

各チャンクを一時的な文字列に変換して、各チャンク内の改行を削除しようとしましたが、正しく処理されません。私は完全に間違った方向に進んでいるかもしれませんが、そうは思いません (同様の形式は syslog タイプのログに対して完全に機能しますが、それらは 1 行のエントリであるため、基本的なファイル イテレータ/行処理に適しています)

これまでのログとコードのサンプルを次に示します。

そして更新されたコード：

ヘルプ、ポインタ、RTFM、You're Doing It Wrongs など、大歓迎です。

私は Snort-IDS を使用しています。/var/log/snort にいくつかのログ ファイルがあります。ファイルのタイプは snort.log.xxxx です。このファイルを表示するにはどうすればよいですか???

Snortログ ファイルを読み取る Perl プログラムを作成しています。VMware を使用して Fedora 14 を実行しています。

コマンド/usr/loca/bin/snort -r /var/log/snort/snort.log.1299686068を使用すると、結果が得られます。

送信先と送信元の IP アドレスなどの情報が一覧表示されますが、Perl を使用してそれらを読み取るプログラムを作成すると、一覧に表示されるのは不明なシンボルです。

ログ ファイルが Snort によって保護されていませんか、それとも他に何が問題なのですか? 最初の例と同じ結果を正確に 100% 表示しているわけではありませんが、少なくともすべてを明確にリストしています。

私のコードは次のとおりです。

誰でもこのコードについて意見をいただけますか?

ログファイルはバイナリ形式なので、このようにコードを修正してみます

このコードには構文エラーがあるようです..パイプとファイルの末尾の機能を組み合わせることはできませんか? file::tail関数はすでにインクルードopen()メソッドではありませんか?

2番目の質問は$file = File::Tail -> new(<Filename>); <Filename>、単一のファイルである必要があり、特定のファイル名を指す必要があるように見えることです... 3つのファイルsnort.log.1301090101がsnort.log.1301090102ありsnort.log.1301090102、同じディレクトリにある場合、単一のFile::Tail関数を使用してそのすべてまたは内部のファイルを読み取ることはできませんディレクトリ？

このコマンド /usr/loca/bin/snort -ieth0 -l /var/log/snort でトラフィックをキャプチャしました。後ろに -b を入れたことがないので、バイナリ ファイルではありません。ログファイルはすべての未知の単語を表示するように見えます...それはまだバイナリファイルの儀式であることを意味します...それを指定する他の方法はASCII形式でなければなりませんか? snort.conf などで設定する必要がありますか?

TCP再アセンブリを実行するための優れたライブラリは何ですか？いくつかのpcapファイル（wiresharkを使用して処理するには大きすぎる）があり、TCP再アセンブリを実行したいと思います。libnidsの開発は停止したようです。誰かが与えることができるかどうか疑問に思います

現在、 Fedora 14 に Snort 2.9.0.4 をインストールしています。Snort IDS モードは完全に動作しています。Snort IDS から IPS を実装したいと考えています。Linux 環境はまったくの初心者です。