07 31 Ocak - 2 Şubat 2007 Kütahya - Akademik Bilişim Konferansları

Akademik Bilişim’07 - IX. Akademik Bilişim Konferansı Bildirileri31 Ocak - 2 Şubat 2007 Dumlupınar Üniversitesi, KütahyaAnahtaracceptKullanımaccept/,Varsayılan-AçıklamaHangi Ağdangelen isteklerecevap vereceğinibelirdefaultkey defaultkey parola - Bağlantı parolasısnort_enable=”YES”snort_interface=”fxp0”#snort_flags=”-D -A fast”snort_flags=”-D -b”snort_conf=”/usr/local/etc/snort/snort.conf”Snort –A fast parametresi ile çalıştırılmamalıdır.Bu durumda snortsam çalışmayacaktır.Port port portnumarası 898 Bağlantı portudontblocklogfiledontblock/logfiledaemon daemon -emailipfemail: ipf ---Bloklanmasıistenmeyen ipveya ağGünlük DosyasıServis olarakçalıştırGüvenlik duvarıseçimiTablo.1. SnortSam.conf dosyasıiçerisindeki anahtarlar ve değerler.Snort Ayarlarının YapılmasıSnort çalıştırılmadan önce snort.conf dosyası içerisindede yapılması gereken bazı ayarlamalar vardır.Bunlara ilişkin kullanımlar aşağıdaki gibidir.output alert_fwsam: Snortsam bir parola gerektiriyorsa aşağıdakişekilde kullanılmalıdır.output alert_fwsam::/Snort kural paketleri içerisinde de snortsam ipbloklama eklentisini çalıştıracak kodların yazılmasıgerekir. Bu dosyalar snort /etc/snort/rules veya /usr/local/share/snort altında olabilir.Dosyalar metin dosyasıdır. Bunlar herhangibir editörle açılıp kuralların sonuna “fwsam:, ” formatında eklemeleryapılır. Burada fwsam eklentinin adı, who neyöne doğru engelleme yapılacağını ve durationda ne kadar süre ile engelleme yapılacağınıgöstermektedir.alert tcp $EXTERNAL_NET any ->$HTTP_SERVERS $HTTP_PORTS (msg:”WEB-ATTACKS /bin/ps commandattempt”; flow:to_server,established;uricontent:”ps%20”; nocase;sid:1329; classtype:web-applicationattack;rev:4; fwsam: src, 5minutes;)alert tcp $HOME_NET 4711 ->$EXTERNAL_NET any (msg:”P2PeDonkey server response”;flow:established,from_server;content:”Server|3A| eMule”;reference:url,www.emule-project.net;classtype:policy-violation;sid:2587; rev:2; fwsam: src, 5 minutes;)Birden fazla Snortsam programına gönderilecekseaşağıdaki şekilde kullanılabilir.output alert_fwsam: localhost/myhostpasssam.corp.com:1050/corppassFreeBSD kullanılıyorsa aşağıdaki parametrelerinrc.conf dosyasına girilmesi gerekecektir.alert tcp $HOME_NET any ->$EXTERNAL_NET any (msg: “BLEEDING-EDGE P2P Ares traffic”; flow:established; content:”User-Agent\:Ares”; reference:url,www.aresgalaxy.org; classtype: policy-violation;sid: 2001059; rev:4;fwsam: src, 5minutes;)349