Snort规则问题跟踪IRC服务器活动

alert tcp $ HOME_NET任何 - > $ EXTERNAL_NET any（msg：“通过Nick更改检测到COMMUNITY BOT IRC流量”; flow：to_server，established; content：“NICK”; nocase; offset：0; depth：5; flowbits：set，community_is_proto_irc; flowbits：noalert; classtype：misc-activity; sid：100000240; rev：3;）Snort规则问题跟踪IRC服务器活动

alert tcp $ EXTERNAL_NET any - > $ HOME_NET any（msg： “COMMUNITY BOT Internal IRC server detected”; flow：to_server，established; flowbits：isset，community_is_proto_irc; classtype：policy-violation; sid：100000241; rev：2;）

alert tcp $ HOME_NET any - > $ EXTERNAL_NET any （msg：“来自内部bot的CHAT IRC消息”;流程：建立;流程：i SSET，community_is_proto_irc;内容：“PRIVMSG”; NOCASE; CLASSTYPE：政策性侵犯; sid：1463;）

上述规则已由David Bianco编写，用于跟踪任何IRC端口上的IRC bot/server活动。但是，上述规则正常工作，但我有一个问题。当多个IRC服务器（其中一些在7000上工作，另一些在6667上工作）在网络上运行时，我的问题正在发生，其中一些将实现规则的条件，Snort将生成警报，其中一些（甚至一个）将不会实现这些条件，因此Snort不会生成任何与定义集有关的警报。我认为这是一种不一致。关于这个问题的任何建议？我正在研究Snort 2.8。

来源

2012-05-06 Aymen

感谢上帝，现在问题已经解决....问题的原因是许多规则试图同时触发同一活动（PRIVMSG），所以当我删除这些规则时，对于上述规则，每一个想法都很好。

来源

2012-06-02 15:55:56 Aymen

出于好奇，你删除了什么规则？交通没有达到多个规则，它只能匹配一个，所以我认为你删除了最初被击中的那些规则？ –

在我的情况下，有一些规则试图捕获PRIVMSG消息。所以，我只是评论不需要的，以摆脱它对预期规则的影响。 – Aymen

这些IRC规则相当古老，不会（如您所见）捕获所有IRC流量。几乎不可能说出为什么他们不匹配网络捕获或跟踪。

第一条规则是根据与流量相匹配的规则设置一个flowbit（如果第一条规则与流量不匹配，则基于“NICK”与偏移量0的深度为5的不可闻中匹配）那么它不会将flowbit设置为“community_is_proto_irc”。以下是关于flowbits的旧解释 - http://forums.snort.org/forums/rules/topics/flowbits。

第二个规则只是提醒流量位（从外部到家的流量）的存在，而第三条规则对于内容匹配更为细化（并且流量反向）。

我建议为非匹配的IRC流量获取pcap并通过本地启动Snort来查看错过的内容，然后相应地修改规则（snort -r test.pcap -c /etc/snort_test.conf ） - http://manual.snort.org/node8.html。

HTH！

来源

2012-05-10 08:43:28

感谢您的澄清，但我的问题是标记多个在线IRC服务器同时运行。 – Aymen

那么这个流量在前5个字节中不包含字符串“NICK”？ –

它应该有。 – Aymen

Snort规则问题跟踪IRC服务器活动

回答

相关问题