問題タブ [snort]

繰り返しますが、私はこのガイドを参照していました。 問題は、値を変更した後のことでした

に：

エラーメッセージを受け取りました：

WARNING: Can't find any whitelist/blacklist entries. Reputation Preprocessor disabled.

だから私はそれを次のように変更しました：

しかし、私がそれをしたとき、私は新しいエラーメッセージを受け取りました:

/usr/local/snort/etc/snort.conf(507) Undefined variable name: WHITE_LIST_PATH.

私がここで何が間違っていたのか、誰にも分かりますか?

Snort を使用して、一連のルールに対して pcap ファイル内のパケットを照合しています。結果を記録したい。var/log/snort で生成されたログ ファイルを見ましたが、元のwireshark pcap ファイルに対応するどのパケット番号が一致を報告したかを知りたいです。どのコマンドがそれを行いますか?

私はPerl Regexにかなり慣れていないので、特定の16進文字に一致する正規表現を作成する方法を知りたいと思っていました0x90. 私は試しました: "[\x90]"、"\x90"しかし、これらは機能しないようです..私はsnortを使用して0x90おり、テキスト内の文字を見つけるルールを作成する必要があります:

これは私が試したものですが、snort でエラーが表示されます。

何かご意見は？ありがとう！

pig を使用して pcap ファイルを解析しています。part-r-0000 ファイルに出力を取得しています。次の出力が表示されます。

そのファイルから実際の出力を取得する方法は? part-r-0000 ファイルの用途は何ですか?

http応答の内容を確認して、その中に「abbb」という内容を見つけようとしています。したがって、私のルールは

alert tcp MY_SERVER HTTP_PORTS -> any any(msg:"アクセスされたページにはコンテンツ abbb があります";to_client; 確立されました; content:"abb";sid:XXXXX; rev:x;)

残念ながら、このルールは機能していないようです。私のルールに何か問題があるかどうか、誰か教えてください。

次のようなネットワークに入ってくる電子メール トラフィックを検出するルールを作成しようとしています。

1. 特定のドメイン (gmail.com など) に送信

2. .xls ファイルです

3. 名前の長さが最大 ​​75 バイトのファイル名を持つ

4. 電子メールの添付ファイルであり、この添付ファイルは特定のサイズであり、変更されることはありません (たとえば、添付ファイルのサイズは 100000 バイトです)。

他の人に注意してください、私はsnortの初心者です。邪魔にならないので、これまでのところこれしか管理していません：

そこにファイルサイズの添付ファイルの検出を取得する方法がわからない、またはファイル名とタイプを検出するためのpcreビットが正しいかどうかさえわかりません。どんな助けでも大歓迎です。