Snort FlexResp2

[Verwijderd]

Ik heb hier een snort machine geinstalleerd, icm ACID reporting en SnortCenter web based management. Detectie werkt perfect, ik detecteer alles wat ik wil...

Nu wil ik Snort "tandjes" geven en voor ik de machine in productie neem met Snort-inline wil ik eerst een tijdje draaien met FlexResp2. (Reden: inline vastlopen is internet storing, flexresp vastlopen is alleen effe geen bescherming)

Ik heb getracht de zelf gecompilede versie te draaien maar die accepteerd de flexresp keywords niet. Nu heb ik de prebuild versie geinstalleerd die de flexresp keywords wel accepteert maar het lijkt niet te werken.

-De Snort machine zou een tcp reset moeten versturen om het pakket te blokken, ik weet niet of dit gebeurt. (Ga ik zo nog effe sniffen)

-Als ik resp:reset opneem komt het event niet meer in de Acid log te staan.

-Ik test met de virus regel .pif outbound, welke voorheen perfect detecteerde, maar zoals gezegd geen events meer in Acid als ik de resp:reset regel opneem.

De machine draait momenteel een volledige gepatchede RH7.3, eth0 is lokaal eth1 is sniff interface. Eth1 is aangesloten op hub tussen firewall en router.

Bron FlexResp2:
http://cerberus.sourcefir...chives/snort/sp_respond2/

[Verwijderd]

Ok, ik heb 'm nu zo ver dat zelfs met de "resp:reset" optie ik een regel in de Acid database zie komen.

Sniffer gestart maar ik zie geen tcp reset voorbijkomen bij een pakket dat geblokked zou moeten worden. (ook niet enkele ms. later)

code:

Category local.rules
SID 1000001
Rule Name  "test"
Action  alert
Proto  tcp
Source IP  any
Source Port  any
Operator  <>
Destination IP any
Destination Port  25
Content  "test" nocase
Resp  reset,reset_atttackresp

[ Voor 7% gewijzigd door Verwijderd op 15-07-2004 13:45 . Reden: typo ]

[Verwijderd]

Ik heb een aantal jaar geleden ooit eens een firewall opgezet, met snort1 en wat perl scripts (en acid, remote mysql db, etcetc). Toendertijd liet ik snort een script uitvoeren als er een event getriggerd werd, wat vervolgens die host toevoegte aan een blacklist en mbv iptables een regel op de firewall toevoegte. Ik heb nu helaas geen snort bak bij de hand om te kijken hoe ik dat toen aan de praat gekregen heb, maar het is mogelijk een alternatief.

[Verwijderd]

De Snort machine draait niet als firewall, ik heb hier een seperate Netscreen firewall staan.

Het is ook niet mijn bedoeling om de Snort machine als firewall in te zetten, VPN en dergelijke staan namelijk ook op de NS en dat alles te vervangen zou veels te veel tijd kosten.

[Verwijderd]

Het gaat ook ff niet om de architectuur, maar het gaat erom dat je per event een script kunt runnen (mijn arch was ook heel anders hoor, als je goed zoekt hier op het forum moet je nog wel m'n architectuur van toendertijd teboven kunnen halen ). Op het moment dat je een extern script aanroept, is het vrij triviaal om een scriptje rond tcpreset (zat in de dsniff toolkit als ik me niet vergis) te bouwen, danwel zelf een kleine {C|C++|perl|python} app te bouwen die dat voor je doet.

[Verwijderd]

Ook eth1 gesniffed en ook hier geen tcp reset...

[Verwijderd]

FlexResp en FR2 zou dit moeten kunnen. Ik lees veel problemen met scripted reset's omdat een reset een tijdscritisch iets is. (Moet zo snel mogelijk)

Gek genoeg werkt react:block perfect.