(eBook - pdf - german) Intrusion Detection für Linux-Server

206 Snortlediglich ein Produkt, welches mithilfe der libpcap-Bibliothek in der Lage ist,Pakete von einem Ethernet-Interface aufzunehmen. Dies kann in dem normalenModus erfolgen, in dem die Netzwerkkarte lediglich Pakete entgegen nimmt,welche an ihre MAC-Adresse oder die Broadcast MAC-Adresse gerichtet sind,oder in dem so genannten promiscuous mode. Impromiscuous mode nimmt dieNetzwerkkarte unabhängig von der MAC-Adresse alle Pakete entgegen. DerBenutzer kann nun mithilfe von Kommandozeilenoptionen das Verhalten vonSnort definieren. So kann Snort die aufgenommenen IP-Pakete parsen und derenInformation in Klartext anzeigen (Sniffer-Modus).4500 0054 0000 4000 4001 da5d c0a8 6f32c0a8 6fc8 0800 8b1b 381a 0000 cb2b d83c9d5e 0900 0809 0a0b 0c0d 0e0f 1011 1213192.168.111.50 −> 192.168.111.200ICMP TTL:64 TOS:0x0 ID:0 ipLen:20 DgmLen:84 DFType:8 Code:0 ID:14362 Seq:0 ECHOAbbildung 9.7:Snort zeigt Pakete im Klartext anSnort ist in der Lage, auch den Datenanteil und die Ethernet Header anzuzeigen.Anstatt die Daten anzuzeigen, kann Snort auch die Informationen geeignet protokollieren.So steht eine Protokollierung der Pakete in Binärform als auch inKlartext zur Auswahl. In dem Binärmodus erfolgt die Protokollierung kompatibelzu anderen Produkten wie tcpdump und ethereal. Im Klartext-Modus wirdjedes einzelne Paket in einem Verzeichnis basierend auf der IP-Adresse eines derbeiden beteiligten Rechner (s.u.) protokolliert.Plug-InsSchließlich besteht auch die Möglichkeit, alle aufgenommenen Pakete zu inspizieren.Hierzu können Regelsätze definiert werden, die spezifische Aspekte desPaketes untersuchen. Die Detektionsfähigkeiten werden nicht von dem Snortkernselbst zur Verfügung gestellt, sondern mithilfe von Plug-Ins implementiert. Dieserlaubt einen sehr modularen und zukünftig erweiterbaren Aufbau von Snort. Sokönnen unterschiedliche Programmierer Plug-Ins für Snort schreiben. Snortunterstützt inzwischen Detektions-Plug-Ins, Präprozessoren und Output-Plug-Ins.Snort 1.8.6 kommt mit folgenden Detektions-Plug-Ins: