Snort規則問題跟蹤IRC服務器活動

alert tcp $ HOME_NET任何 - > $ EXTERNAL_NET any（msg：「通過Nick更改檢測到COMMUNITY BOT IRC流量」; flow：to_server，established; content：「NICK」; nocase; offset：0; depth：5; flowbits：set，community_is_proto_irc; flowbits：noalert; classtype：misc-activity; sid：100000240; rev：3;）Snort規則問題跟蹤IRC服務器活動

alert tcp $ EXTERNAL_NET any - > $ HOME_NET any（msg：「COMMUNITY BOT Internal IRC server detected」; flow：to_server，established; flowbits：isset，community_is_proto_irc; classtype：policy-violation; sid：100000241; rev：2;）

alert tcp $ HOME_NET any - > $ EXTERNAL_NET any （msg：「來自內部bot的CHAT IRC消息」;流程：建立;流程：i SSET，community_is_proto_irc;內容：「PRIVMSG」; NOCASE; CLASSTYPE：政策性侵犯; sid：1463;）

上述規則已由David Bianco編寫，用於跟蹤任何IRC端口上的IRC bot/server活動。但是，上述規則正常工作，但我有一個問題。當多個IRC服務器（其中一些在7000上工作，另一些在6667上工作）在網絡上運行時，我的問題正在發生，其中一些將實現規則的條件，Snort將生成警報，其中一些（甚至一個）將不會實現這些條件，因此Snort不會生成任何與定義集有關的警報。我認爲這是一種不一致。關於這個問題的任何建議？我正在研究Snort 2.8。

來源

2012-05-06 Aymen

感謝上帝，現在問題已經解決....問題的原因是許多規則試圖同時觸發同一活動（PRIVMSG），所以當我刪除這些規則時，對於上述規則，每一個想法都很好。

來源

2012-06-02 15:55:56 Aymen

出於好奇，你刪除了什麼規則？交通沒有達到多個規則，它只能匹配一個，所以我認爲你刪除了最初被擊中的那些規則？ –

在我的情況下，有一些規則試圖捕獲PRIVMSG消息。所以，我只是評論不需要的，以擺脫它對預期規則的影響。 – Aymen

這些IRC規則相當古老，不會（如您所見）捕獲所有IRC流量。幾乎不可能說出爲什麼他們不匹配網絡捕獲或跟蹤。

第一條規則是根據與流量相匹配的規則設置一個flowbit（如果第一條規則與流量不匹配，則基於「NICK」與偏移量0的深度爲5的不可聞中匹配）那麼它不會將flowbit設置爲「community_is_proto_irc」。以下是關於flowbits的舊解釋 - http://forums.snort.org/forums/rules/topics/flowbits。

第二個規則只是提醒流量位（從外部到家的流量）的存在，而第三條規則對於內容匹配更爲細化（並且流量反向）。

我建議爲非匹配的IRC流量獲取pcap並通過本地啓動Snort來查看錯過的內容，然後相應地修改規則（snort -r test.pcap -c /etc/snort_test.conf ） - http://manual.snort.org/node8.html。

HTH！

來源

2012-05-10 08:43:28

感謝您的澄清，但我的問題是標記多個在線IRC服務器同時運行。 – Aymen

那麼這個流量在前5個字節中不包含字符串「NICK」？ –

它應該有。 – Aymen

Snort規則問題跟蹤IRC服務器活動

回答

相關問題