Пример настройки препроцессора Stream5
В примере сначала производится настройка глобальных параметров, затем настройка ТСР для конкретного адреса, и настройка политики ТСР по умолчанию. Такая конфигурация – минимально необходимая.
preprocessor stream5_global: max_tcp 8192, track_tcp yes, track_udp no, track_icmp no
preprocessor stream5_tcp: bind_to 84.22.150.54, policy windows
preprocessor stream5_tcp: policy first
Протокол подключения препроцессора Stream5 при запуске Snort имеет следующий вид:
Отдельно будет выведена информация о конфигурации политики по протоколам TCP, UDP, ICMP (если UDP и ICMP были указаны при конфигурации препроцессора).
Задание по лабораторному занятию
В готовом файле конфигурации primer.conf в параметрах препроцессоров указать IP адреса компьютера, на котором вы работаете. Запустить программу Snort в режиме обнаружения атак с использованием файла конфигурации primer.conf. По протоколу запуска определить, какие препроцессоры подключены, и с какой политикой по умолчанию. Протокол конфигурации запущенных препроцессоров привести в отчете по лабораторному занятию.
Создать собственный файл конфигурации на основе файла primer.conf и настроить параметры препроцессора frag3 таким образом, чтобы предотвратить атаку с помощью фрагментированных перекрывающихся пакетов.
Настроить параметры препроцессора frag3 таким образом, чтобы предотвратить проникновение пакетов, в которых фрагментирован заголовок ТСР сегмента (справка: длина заголовка ТСР сегмента 20 байт).
Подключить препроцессор frag3 с новыми заданными параметрами и проверить его работоспособность. Новую конфигурацию препроцессора frag3 привести в отчете по лабораторному занятию.
Настроить препроцессор stream5 таким образом, чтобы:
сборка пакетов в потоки производилась для всех возможных IP адресов,
максимальный размер окна в ТСР сегменте равнялся 1 Мб,
производилось обнаружение пакетов, не соответствующих стандарту ТСР
максимальное количество ТСР сегментов, которое можно поставить в очередь на сборку потока для данного ТСР соединения, не ограничено
Подключить препроцессор stream5 с новыми заданными параметрами и проверить его работоспособность. Новую конфигурацию препроцессора привести в отчете по лабораторному занятию.
Часть 2. Ids Snort. Режимы работы и простое конфигурирование Вводная информация
IDS Snort - современная система обнаружения атак с тремя основными функциями: захвата и анализа пакетов, регистрации (записи содержания) пакетов и обнаружения вторжений. IDS Snort – свободно распространяемая программа (www.snort.org), которая является одной из самых популярных в мире IDS. Эта IDS относится к системам типа network-based, ее основной источник информации – сетевой трафик. Структурно IDS Snort состоит из основного ядра и дополнительных подключаемых модулей, которые значительно расширяют возможности системы. Snort работает почти со всеми ОС, существующими в настоящее время, и ее возможности постоянно увеличиваются. В частности, происходит постоянное обновление и наращивание базы данных сигнатур для обнаружения атак.