Detecci%C3%B3n_APT

Esta firma tiene como principal desventaja que en redes grandes puede producir
muchos falsos positivos y consumir bastantes recursos del detector de intrusos. Su
afinamiento es costoso en tiempo y requiere analizar todos los casos que surjan
para descartar los falsos positivos.
La ventaja de una firma como esta es que podría descubrir Covert Channels que no
estuvieran generados con la herramienta ptunnel dado que no es específica para
esta herramienta. Este es un ejemplo de firma genérica que puede tener sentido
en entornos críticos.
Otro caso de detección de una herramienta que permite hacer un túnel a través de
DNS sería el siguiente 256 257 :
# detects iodine covert tunnels (over DNS), send feedback on rules to merc [at]
securitywire.com
alert udp any any -> any 53 (content:"|01 00 00 01 00 00 00 00 00 01|"; offset: 2;
depth: 10; content:"|00 00 29 10 00 00 00 80 00 00 00|"; msg: "covert iodine
tunnel request"; threshold: type limit, track by_src, count 1, seconds 300; sid:
5619500; rev: 1;)
alert udp any 53 -> any any (content: "|84 00 00 01 00 01 00 00 00 00|"; offset:
2; depth: 10; content:"|00 00 0a 00 01|"; msg: "covert iodine tunnel response";
threshold: type limit, track by_src, count 1, seconds 300; sid: 5619501; rev: 1;)
Estas reglas son específicas para la herramienta iodine.
Otras firmas de gran utilidad son las que permiten detectar el uso de protocolos en
puertos inusuales. Un ejemplo es el uso del protocolo SSH en puertos que no sea el
habitual (22/TCP). Se aprecia a continuación ciertas firmas de Emerging Threats
que detectan este tipo de uso:
alert tcp any !$SSH_PORTS -> any any (msg:"ET POLICY SSH Server Banner Detected on
Unusual Port"; flowbits:noalert; flow: from_server,established; content:"SSH-";
offset: 0; depth: 4; byte_test:1,>,48,0,relative; byte_test:1,