banner

[Rule] Rules  [Home] Main Forum  [Portal] Portal  
[Members] Member Listing  [Statistics] Statistics  [Search] Search  [Reading Room] Reading Room 
[Register] Register  
[Login] Loginhttp  | https  ]
 
Forum Index Thảo luận bảo mật Vấn đề Snort kết hợp iptables  XML
  [Question]   Vấn đề Snort kết hợp iptables 20/05/2013 22:31:24 (+0700) | #1 | 275847
style_tn
Member

[Minus]    0    [Plus]
Joined: 06/01/2011 10:50:52
Messages: 3
Offline
[Profile] [PM]
Chào các tiền bối. Hiện e đang làm đồ án về Snort IDS kết hợp với iptables có vài chỗ không tìm được thông tin nên muốn tham khảo các bác trên này.

Theo e được biết thì để kết hợp Snort với iptables thì phải sử dụng Snort Inline. Nhưng khi e cài Snort ver 2.9.4.5 thì ko có tùy chọn enable inline.

Có phải snort đã enable sẵn mode inline không ?

E tìm hiểu thấy có module daq với các chế độ như afpacket, nfq có mode inline. và làm theo hướng dẫn tại [1] để tạo nên 1 IPS với snort và iptables



thực hiện như sau
với iptables:
iptables -t nat -A PREROUTING -p tcp -j NFQUEUE --queue-num 2

chạy snort
snort -A console -Q --daq nfq --daq-dir /usr/local/lib/daq --daq-var queue=2 -c /etc/snort/snort.conf -l /var/log/snort

chạy ko có lỗi j` . khi e thử các rules đơn giản như
drop tcp any any -> $HOME_NET 80 (msg:"..."; sid: ... )
thì hoạt động bình thường không có lỗi j`. client không truy cập được http. snort cảnh báo drop trên console

sau đó e thử phát hiện và ngăn chặn DoS bằng Slowloris với rules. tư tưởng như trên.

drop tcp any any -> $HOME_NET 80 (msg:"DOS by Slowloris";flow:to_server,established;content:"GET /";depth:5;content:"User-Agent\: Mozilla/4.0 (compatible\; MSIE 7.0\; Windows NT 5.1\; Trident/4.0";offset:30;depth:90;threshold: type threshold, track by_src, count 100, seconds 30; classtype: attempted-dos;sid:887799smilie

thì snort không hoạt động. không cảnh báo và các gói tin cũng không bị drop .

vậy nguyên nhân có thể do đâu ? E có thể chống DoS Slowloris với cách này được ko ?
ai có cao kiến gì chỉ bảo cho e với. e cảm ơn trc ạ .

[1] http://techminded.net/blog/using-snort-as-service-ips.html
[Up] [Print Copy]
  [Question]   Vấn đề Snort kết hợp iptables 22/05/2013 23:08:14 (+0700) | #2 | 275922
style_tn
Member

[Minus]    0    [Plus]
Joined: 06/01/2011 10:50:52
Messages: 3
Offline
[Profile] [PM]
ựa . ko ai có cao kiến j` sao @@! .

ak tiện đây có ai có rules detect Slowloris trên snort ko ạ ? @@!
[Up] [Print Copy]
[digg] [delicious] [google] [yahoo] [technorati] [reddit] [stumbleupon]
Go to: 
 Users currently in here 
1 Anonymous

Powered by JForum - Extended by HVAOnline
 hvaonline.net  |  hvaforum.net  |  hvazone.net  |  hvanews.net  |  vnhacker.org
1999 - 2013 © v2012|0504|218|