Kịch bản demo phát hiện xâm nhập sử dụng snort ids
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (737.05 KB, 10 trang )
Kịch bản demo phát hiện xâm nhập sử
dụng Snort IDS
!"#$%&'()*+,-!.
(/0/1234(,567%(!8 8!9:(0;(/#
/<7=>=7=7#$?(6$@(/#A4(6(34(
B(C&DE(5F,5=G"$H: *$IJC
'GKLMNJ5J!J6(O,GD*()((6 P$Q(/
#0,G2B(2R$S ?TO?U!V?WV?V? ?XYZ[\?
]\?\?UVG05/#0(^($Q(D_(/%(6(?
`/#1�,a784(0(G"
(^ b?cNK?+7(?W?H XTH?TY?YYY?5YWCU!V
K d=>C
D()2!e?5a!e/^4(G(H"!e./
f %(8'(/gY7$h
f %2OPigY! h
f %!"gb(h
f %(58D"gT((($](, h
f %7=O1%(gU!$h
d=>C%8(&
Hình 1: Mô hình kiến trúc Snort
d0(/ jA5_((5D_18"(/$,#k/
H"(/ 7D_5%8'(/+=!(/ j5%
+2OPi?)%Y"+0l,@,5/!"OlJ!,7%(
(//#Dmk#%(=!F5%T(58D"#OP
id"8D"O"n%d=O1%( jA58D"
>(n$0((Bl, j l5=:52:=0(5^4(
Co(!e
K$(8'(/
P$Q(5!!#D_p(/G0(%(kB(X& %8
5(/b j(8'=
Hình 2: Mô hình xử lý gói n Ethernet
(/ 7(8' j=!5%2OPi
KK%2OPi
%2OPi%1kp(B5D17qB(#/#
9Dn(/$I5%Y"!l3V5Q.C"%
0,
d=!0"(/d($I(P?%( j7%(/((/
D5(/!8A5!l8?(/De2(/)
(PdJ"(/,/!8A5(r!B0#/$I
(,G$0(De?o/A"%(5OPi=!'D=7
!G5CB($-? j/12(/s(!G/
(/G(t j7%(/0("5=%(5!"OlJ!u$A
5(// j7%(0k8$2OPi (>!/#
#"!G57"g/"7"03/0(""(/h
o/(>!0k8:(5!"OlJ!
8'59/(^g$$vwh%(5!"OlJ!$AG$1
J$0(27Dn1D077#"(^/$I/##
$2$0(7"<.$QSD 5/#1!J2$0([T[T
5=$$0('Ov[$?[T1!J8$1x,vF27iA,G
=!@(>Hy(0/$1J$0(z ! v ${?7t1%(/#5
kDE("@,D=",G1(P=SD 5
z ! vv ${
z ! vO! vv ${
z ! x ${
z ! vx ${
XFA5'/"a,$$0(7"=uA:e
5 "$I5$1J$0( jO8,|0(Dm /"5OlJ!
5J,? B%2OPiC!8/5Q(8'5u P? _!O=!0"
%(e5,#%(7=%!"/#!"
7%(Dm /
X,'a5(8'59/"(^?}!?!?!
Y""OlJ!D16(gvh"!(2OPi$0(,6(
$@(#B!/5"OlJ!7%(#F17/!"DE("J%(
6(F"$1D16(((^H"%2OPi$0(,/#
A5!"OlJ!D1^"(~o/4(6(G
34(
<.$Q?!(2OPi/5QB(7G%((0(06#D&6(
#)7/%((0(D16(O8,//#3"?!"58
D"g!"OlJ!%&B(7GhYGD80C/7•
!((>!!""OlJ!D16(/! 5DgD7€hY$@(
#8D"77t1%(A5kr"s(CB(#|as(
V$@(#8D"7B('Dn-•D7€57t1%(oO7=
BD7€A"oO
KM%!"
‚l,%kp(1C/n"!"
"$1OlJ!%!" P$Q("Jn(~# "5
$IJ!o/O"nO/OlJ!O8,,7%()=!/
#A B%(5((?0%(D"57=O1%(5121
kp((%!"5126(OPi"(/6(J
12(/5D8l/;(/12"JOPiH/#1I(78(
6(7"5OPi"(/7"<7%((0(k"/#
O8,5Dm /F7%(!8)>(>d84(OPiC%!"$A
G B,=B B("J?BCB((0,?8G0(
BP(D=?!GD80C7B/0,G
B(/2D5OPi51&",3:(B0&/#0(BG8
"0(ƒ(%!";(/784(""!eC(/5"!
$Q("JGo(!eC(//H"!e//#
fY$
fX$*e((5J+HY?[Y
fX$*e(^($Q($?X++Y$?W+Y$?„
fYe8C(/gD0;(/#"!$Q("JG"!e$I,2C
(/h
512I(%!"/5OPi=7(/Dn!"D*
2J"J(;("^AG?G(/7Dn!"
D*2J7"?8D" j8D"^(5J/^G
1
K…%(58D"
+@,55%Y"/J$0(OlJ!,7%((//#
Dn((F8D"H"†("†O$I(//#($
2n$0(7"y(0!$!
K‡%7=O1%(
%,/#A""7"@,5D0B7=k8O1
=+@,51&B(//#A"%(5
f(†
f , ( , (59I"†( P$Q(12G"B(
[O?TO
f8D"5: *$I
f+0†($0(O5((†$0(O1J5s5 t$I
fH1&0?†S
fP"8D"(/((/ P$Q((^YH"(/$0(Y,
j(PY 5o/(>!5k8i"8D"5B(
"J!(5J:
fP"%(!Vg5 (V7h"",3R$S =7%(
`(5""O1%(G?/#5="%7=O1%(G(q
Q. P$Q(
KˆVJC
Kˆ
H;((B(5 ?e="0(1%(,OlJ!2/"$1G(
H"%(52"$1, j P$Q(#0G"J+%(6(?
"D‰,g,! h0#|#O"7t1%((&;("%(
52%(Q5%((>( P$Q(<(0?;(/": *$I52"as(
D8JI(7t1%(B7"H"$0(1%('D=,$@(
"$1#!"1%(OlJ!H"$1//#O1(!e
$C"(/FE(!e$(C>(XB(!"C
0($AG"Jg h5"J,0$AG"$1J$0(1
%(H"J/#"!$Q(18"!e7"C(/$I
J/# P$Q(#0G%(!8D"?(%(!,/#Dm
k(/
KˆK H1>JC
X',OOr5.$Q:(8
!LKˆcKNvK…KMZŠ,,g{†${‹ (z$
†${h
+1,1>CJ/$0(
Hình 3: Cấu trúc luật của Snort
-(8
+18"TJC52(2()K!eYe$5!eU!
fYeX$^%(52(J/ jA7!"/Ol
J!E((/5/;(^"G9#"!$Q(J5(//
fYeU!^%(!8D"5"%(52"!eC(/$@(#
0G8D"YeU!^"G9!QG#B "J5(/
J/#!",20(4$`,1%(H"J%(
/784("!$Q(2$1OlJ!l,1>(C!eX$
CJ
Hình 4: Header luật của Snort
f]!ekn0(A7"$1C(/
J$0(.O"DE(J/+%(6(?"(08D"F(
%(!F7.0J7"
fY!ekn5"!$Q(J"!7u(^Q#
/<.$QY?+HY?[Y„
f]$$ !enu()5nu.H"nu/#",:?2",
FC0(/+(!enuG& jnu()? jn
u.5nu0 j$!ezZŠ{kn
fYO"n"s(()5.C(/G/J"!$Q(
f!e, julnu()?lnu.
<.$Q!,,ZŠ,,g (zY(S++TŒNN{‹}NN‹hYe^($1
*(F!eX$CJ`!e`0!eU!H=C!eX$
fX(CJ*l,z{8D" j0="27C
(/!@!5Jg(/%(0a78D"0h
fYCJ*l,HY^Ju"!$Q("(/0HYV*5J,?
=(/7%(0HY&!e`0CJ j7%(eB=
f‚nu()*l,z,{^J j"!$Q(18"(/=op()
`s(&;(z,{5&B50(/HY&s(7%(/i(~Bs(u
/i(~5"(/0+HYF[Y%
fH`!eU!($1/((Fu8D"^$`(zY(S++TŒNN{
j07|1,27++TŒNN++T++T56((X$Y
M %&$
%&B((0(T]()/M!e.X&‡?()
Z<0$I((6$@(D&6(F",C(B(0(T]
+(%&$?",350,2R$S 5KNNM
Z=Dn!"OlJ!0,
Z]}7B(1%(0(T]?B(1%(*l,/#7?5 ?
•?S„
ZS# /#_(("1%(SF=Dn,#0!8
Fa•S$"(/(0(52
Hình 5: Mô hình mạng LAN áp dụng Snort điển hình
… dnD8P(!"OlJ!DE(
- Bước 1:HF51&
FG",80,[D?)(6Ds ("%(Q!r!$Ž
5(" ""8D"o ()(?D,?k
Hình 6: Màn hình theo dõi dùng Snortby
Hình 7: Màn hình thống kê trên snortby
Hình 8: Màn hình hiể tnhị các sensor trong hệ thống.
- Bước 2:+G#P(?*l,uP(:(8#"("78
4(!"C
•P†/etc/nsm/rules/local.rule5G5
alert icmp 192.168.1.6 any -> any any (msg:”Có tấn công ping of dead”; sid: 100009;)
Hình 9: Snort rule đơn giản có dạng như trên
•d*(0 DE(“/etc/init.d/nsm restart{
ZBước 3:o",3}7A!(=",5zping 192.168.1.8 –t{
ZBước 4:$Ž8D"Co($(
Hình 10: Màn hình theo dõi realme dùng Sguil
Hình 11: Cảnh báo có tấn công "Ping of dead"
