数日前にポートスキャン ログに関する質問を投稿しましたが、これは新しいポートスキャン ログに関する別の質問です。

時刻: 04/13-15:29:41.660134 event_id: 6042 xxxx -> xxxx(portscan) UDP Filtered Portscan Priority Count: 0 Connection Count: 200 IP Count: 66 Scanner IP Range:xxxx:xxxx Port/Proto Count: 32 Port /プロト範囲: 137:17500

このログから、送信元 IP、送信先 IP、送信元ポート、送信先ポートの 4 つを特定しようとしています。

私が望む他のいくつかのオプションは、必要に応じて、ポートスキャンのタイプとこのスキャンのフラグです。

繰り返しますが、提供できるヘルプに感謝します。

シェルコードを除外するために複数のポートを指定することはできなかったとどこかで読みましたが、それは正しいですか? そうでない場合、次は正しいですか？

SHELLCODE を検索するポートのリスト。

portvar SHELLCODE_PORTS ![21,25,80,143,587,8889]

Snort 2905 を使用しています。

Snort を Android OS に移植する方法はありますか? 私はすでに libpcap を Android に移植しており、完全に機能する単純なネイティブ スニファーをいくつか作成しました。これを行うために、C プログラムを ARM アーキテクチャにクロス コンパイルするためのツールを提供する NDK 開発キットを使用しました。

これは Snort で実行できますか。Snort は、多くのソース ファイルを含み、Libpcap、PCRE、Libdnet、Barnyard2、DAQ などの多くのモジュールを使用する大きなプロジェクトであることを知っています。Android用にこのコードをビルドする方法があるかどうか疑問に思っています..たとえば、このすべてのモジュールを静的にリンクすることによって..利用できません..

誰もそれをやったことがありますか？または、開始方法について誰か助けてもらえますか？

Snort make ファイルの作成時にこのエラー メッセージが表示されましたか?

/usr/bin/ld: /usr/local/lib/libpcre.a(pcre_compile.o): >`.rodata' に対する再配置 R_X86_64_32S は、共有オブジェクトを作成するときに使用できません。-fPIC で再コンパイル
/usr/local/lib/libpcre.a: シンボルを読み取れませんでした: 不正な値
collect2: ld が 1 つの終了ステータスを返しました

どうすればここから抜け出すことができますか?

Snort と Wireshark を使用したパケットの検出を知っています。今私の質問は、snort を使用してこの検出されたパケットをブロックする方法です。また、カスタム ルール snort を作成する方法について教えてください。

私は大きな問題を抱えています Plzは私を助けてください.

前もって感謝します

コマンド ラインから SnortRules をダウンロードしたいのですが、この形式で配置すると、Win Xp を使用しています。

Opensuse には apache、php、curl 拡張機能がありますが、Xp には何もありません。インターネットにアクセスできません Opensuse では、WinXp 経由でアクセスできます

それは私に言います：

何が問題ですか？

私はこれを入力しました：

侵入検知システムで多くの検索を行いましたが、どこから始めればよいのか混乱しています。オープンソースの再利用可能なコードが存在するかどうかはわかりませんが、Neural Network を使用した侵入検知および防止システムを作成したいと考えています。

開発者の観点から、私の質問はどこから始めるべきかです。このトピックについて教えてください。

また、現在、KDD CUP 1999 データセットの作業と分析を行っています。そして、そのようなデータセットをさらに探しています。

侵入検知システムを構築するための最適なアルゴリズムを教えてください。

返信または読んでくれた人に感謝します..親切にこれについて私を案内してください. 前もって感謝します。

動的ルールを記述して Snort を構成および実行する方法を知っています。

デコード、プリプロセッサ、動的ルールの一致、出力プラグインなどの処理段階を知っています。

Snort をインライン モードとして使用しています。パケットが Snort になり、パケットがアプリケーションに配信されるまでの処理の完全なフローを知りたいです。

完全なフローの説明のようなリンクを提案してくれる人はいますか?

ありがとう

私は「snort_inline」を使用しており、iptables を使用してすべてのパケットを QUEUE に転送し、snort_inline が検査のためにパケットを取得し、ルールに応じてドロップ/アラートできるようにしました。しかし、インライン モードで実行されている場合、「Snort」は iptables からのパケットも取り込みますか? パケットのブロックに関して、Snort と Snort_inline の違いは何ですか? iptables を使用せずに「Snort」を実行すると、どういうわけかパケットがドロップされることがわかりました。誰かが私のためにこれを明確にしてくれれば助かります。ありがとう ！