Февраль

ХАКЕР.PROВеб-интерфейс к Snort — BASEwww.snort.orgсодержащий различные дополнения к Snort,начиная с версии 2.2.0, пустует. Скрипты длясоздания баз данных переместились в подкаталогschemas, а для создания rpm-пакетов— в одноименный подкаталог. Остальные жерасширения можно найти на страницеwww.snort.org / dl / contrib. Итак, все основноесказано, можно начинать установку.Распаковываем архив:# tar -xzvf snort-2.6.1.2.tar.gzКонфигурируем. В самом простом случаескрипту не нужно передавать никаких параметров.Если же необходимо использовать базуданных, то, например, для MySQL добавляемопцию '--with-mysql'. С версии 2.3.0 RC1 в Snortвключен код проекта Snort-inline, тем самым онполучил возможность не только выявлять, нои останавливать начавшуюся атаку, перестраиваяправила iptables. И теперь Snort являетсяполноценной системой предотвращения атак.Для включения этого режима добавляем'--enable-inline'.#./ configure --with-mysql# make# make installНастройка SnortНе знаю, с чем это связано, но все каталоги,необходимые для работы Snort, до сих порприходится создавать вручную. Сюда мыбудем складывать конфигурационные файлыи правила:# mkdir / etc / snortА здесь будет вестись журнал работы:# mkdir / var / log / snortТеперь в каталог / etc / snort копируем все, чтолежит в подкаталоге etc дистрибутива:# cp -R . / etc / * / etc / snort /Далее распаковываем файл правил и помещаемих в / etc / snort / rules. В принципе, место дляправил можно выбрать любое, но так удобнее,да и считается традиционным:# tar -xzvf snortrules-snapshot-CURRENT.tar.gz# mv rules / etc / snortИграем по правиламДля описания событий, которые могут считатьсязлонамеренными или аномальными, используетсягибкий язык правил плюс модульнаясистема анализа. Сегодня существует два типаправил. Первый тип — официальные сертифицированныеи строго протестированныеSourcefire VRT Certified Rules, распространяющиесяпо лицензии VRT Certified Rules LicenseAgreement, ограничивающей их коммерческоеиспользование. Эти правила доступны в двухвариантах: для зарегистрированных и не зарегистрированныхпользователей. Регистрацияабсолютно бесплатна. Все изменения в первуюочередь распространяются среди подписчиков(subscription release с буквой «s» в названиипакета), затем становятся доступными длязарегистрированных пользователей (безбуквы «s»). Те же, кто не зарегистрировался,довольствуются статистическими правилами,обновляемыми лишь к каждому релизу Snortи, естественно, отстающими от жизни (ониимеют префикс «pr» в названии). Второй типправил называется Community Rules. Этиправила создаются добровольцами, они ещене прошли проверку и распространяются подлицензией GPL. Для загрузки Certified Rulesнеобходимо зайти на страницу Download Rules,выбрать нужное правило и изменить ссылку.Например, ссылка на VRT Certified Rules forSnort CURRENT выглядит так: www.snort.org / pub-bin / downloads.cgi / Download / vrt_os / snortrules-snapshot-CURRENT.tar.gz.Но, нажав на нее, файл не получишь. Сначала еенеобходимо привести к такому виду :www.snort.org / pub-bin /oinkmaster.cgi / код_полученный_при_регистрации / vrt_os / snortrules-snapshot-CURRENT.tar.gz.Учти, что при ошибке ввода повторная закачкабудет возможна лишь через 15 минут, такженельзя пользоваться некоторыми менеджерамизакачки.Давай рассмотрим одно правило, для тогочтобы было ясно, как они пишутся. Вдруг тебепонадобится писать их самому или захочетсяразобраться в том, что конкретно делает то илииное правило. Возьмем одно правило из файлаcommunity-smtp.rule:alert tcp!$SMTP_SERVERS any -> any 25 (msg:"COMMUNITY SMTPMytob MAIL FROM Attempt";flow: established, to_server;content:"MAIL FROM|3A|"; nocase;pcre:" / MAIL \ s+FROM\ s* \ x3A \ s* \ x3C?(spm| fcnz|www|secur| abuse)@ / i";reference: url,www.symantec.com / avcenter / venc / data / w32.mytob@mm.html; classtype: misc-attack;sid:100000689; rev:1;)Несмотря на довольно серьезный вид, правилодовольно простое, и если разобрать его почастям, то все становится на свои места. Перваястрока говорит о том, что все сообщения попротоколу TCP, направленные с любого портана порт 25 (то есть почтовый трафик), с определеннымадресом в поле отправителя принадлежатвирусу-червю W32. Mytob@mm. Ниже данкомментарий (reference), позволяющий найтиболее подробную информацию об уязвимости насайте Symantec. Некоторые правила занимаютнесколько экранов монитора. Директиваalert указывает на действия, которые долженпроизводить Snort при обнаружении пакета,попадающего под это правило. По умолчаниюxàêåð 02 /98/ 07/151