Đang tải... (xem toàn văn)
Kịch bản demo phát hiện xâm nhập sử dụng snort ids
Kịch bản demo phát hiện xâm nhập sử dụng Snort IDS !"#$%&'()*+,-!. (/0/1234(,567%(!8 8!9:(0;(/# /<7=>=7=7#$?(6$@(/#A4(6(34( B(C&DE(5F,5=G"$H: *$IJC 'GKLMNJ5J!J6(O,GD*()((6 P$Q(/ #0,G2B(2R$S ?TO?U!V?WV?V? ?XYZ[\? ]\?\?UVG05/#0(^($Q(D_(/%(6(? `/#1�,a784(0(G" (^ b?cNK?+7(?W?H XTH?TY?YYY?5YWCU!V K d=>C D()2!e?5a!e/^4(G(H"!e./ f %(8'(/gY7$h f %2OPigY! h f %!"gb(h f %(58D"gT((($](, h f %7=O1%(gU!$h d=>C%8(& Hình 1: Mô hình kiến trúc Snort d0(/ jA5_((5D_18"(/$,#k/ H"(/ 7D_5%8'(/+=!(/ j5% +2OPi?)%Y"+0l,@,5/!"OlJ!,7%( (//#Dmk#%(=!F5%T(58D"#OP id"8D"O"n%d=O1%( jA58D" >(n$0((Bl, j l5=:52:=0(5^4( Co(!e K$(8'(/ P$Q(5!!#D_p(/G0(%(kB(X& %8 5(/b j(8'= Hình 2: Mô hình xử lý gói n Ethernet (/ 7(8' j=!5%2OPi KK%2OPi %2OPi%1kp(B5D17qB(#/# 9Dn(/$I5%Y"!l3V5Q.C"% 0, d=!0"(/d($I(P?%( j7%(/((/ D5(/!8A5!l8?(/De2(/) (PdJ"(/,/!8A5(r!B0#/$I (,G$0(De?o/A"%(5OPi=!'D=7 !G5CB($-? j/12(/s(!G/ (/G(t j7%(/0("5=%(5!"OlJ!u$A 5(// j7%(0k8$2OPi (>!/# #"!G57"g/"7"03/0(""(/h o/(>!0k8:(5!"OlJ! 8'59/(^g$$vwh%(5!"OlJ!$AG$1 J$0(27Dn1D077#"(^/$I/## $2$0(7"<.$QSD 5/#1!J2$0([T[T 5=$$0('Ov[$?[T1!J8$1x,vF27iA,G =!@(>Hy(0/$1J$0(z ! v ${?7t1%(/#5 kDE("@,D=",G1(P=SD 5 z ! vv ${ z ! vO! vv ${ z ! x ${ z ! vx ${ XFA5'/"a,$$0(7"=uA:e 5 "$I5$1J$0( jO8,|0(Dm /"5OlJ! 5J,? B%2OPiC!8/5Q(8'5u P? _!O=!0" %(e5,#%(7=%!"/#!" 7%(Dm / X,'a5(8'59/"(^?}!?!?! Y""OlJ!D16(gvh"!(2OPi$0(,6( $@(#B!/5"OlJ!7%(#F17/!"DE("J%( 6(F"$1D16(((^H"%2OPi$0(,/# A5!"OlJ!D1^"(~o/4(6(G 34( <.$Q?!(2OPi/5QB(7G%((0(06#D&6( #)7/%((0(D16(O8,//#3"?!"58 D"g!"OlJ!%&B(7GhYGD80C/7• !((>!!""OlJ!D16(/! 5DgD7€hY$@( #8D"77t1%(A5kr"s(CB(#|as( V$@(#8D"7B('Dn-•D7€57t1%(oO7= BD7€A"oO KM%!" ‚l,%kp(1C/n"!" "$1OlJ!%!" P$Q("Jn(~# "5 $IJ!o/O"nO/OlJ!O8,,7%()=!/ #A B%(5((?0%(D"57=O1%(5121 kp((%!"5126(OPi"(/6(J 12(/5D8l/;(/12"JOPiH/#1I(78( 6(7"5OPi"(/7"<7%((0(k"/# O8,5Dm /F7%(!8)>(>d84(OPiC%!"$A G B,=B B("J?BCB((0,?8G0( BP(D=?!GD80C7B/0,G B(/2D5OPi51&",3:(B0&/#0(BG8 "0(ƒ(%!";(/784(""!eC(/5"! $Q("JGo(!eC(//H"!e//# fY$ fX$*e((5J+HY?[Y fX$*e(^($Q($?X++Y$?W+Y$?„ fYe8C(/gD0;(/#"!$Q("JG"!e$I,2C (/h 512I(%!"/5OPi=7(/Dn!"D* 2J"J(;("^AG?G(/7Dn!" D*2J7"?8D" j8D"^(5J/^G 1 K…%(58D" +@,55%Y"/J$0(OlJ!,7%((//# Dn((F8D"H"†("†O$I(//#($ 2n$0(7"y(0!$! K‡%7=O1%( %,/#A""7"@,5D0B7=k8O1 =+@,51&B(//#A"%(5 f(† f , ( , (59I"†( P$Q(12G"B( [O?TO f8D"5: *$I f+0†($0(O5((†$0(O1J5s5 t$I fH1&0?†S fP"8D"(/((/ P$Q((^YH"(/$0(Y, j(PY 5o/(>!5k8i"8D"5B( "J!(5J: fP"%(!Vg5 (V7h"",3R$S =7%( `(5""O1%(G?/#5="%7=O1%(G(q Q. P$Q( KˆVJC Kˆ H;((B(5 ?e="0(1%(,OlJ!2/"$1G( H"%(52"$1, j P$Q(#0G"J+%(6(? "D‰,g,! h0#|#O"7t1%((&;("%( 52%(Q5%((>( P$Q(<(0?;(/": *$I52"as( D8JI(7t1%(B7"H"$0(1%('D=,$@( "$1#!"1%(OlJ!H"$1//#O1(!e $C"(/FE(!e$(C>(XB(!"C 0($AG"Jg h5"J,0$AG"$1J$0(1 %(H"J/#"!$Q(18"!e7"C(/$I J/# P$Q(#0G%(!8D"?(%(!,/#Dm k(/ KˆK H1>JC X',OOr5.$Q:(8 !LKˆcKNvK…KMZŠ,,g{†${‹ (z$ †${h +1,1>CJ/$0( Hình 3: Cấu trúc luật của Snort -(8 +18"TJC52(2()K!eYe$5!eU! fYeX$^%(52(J/ jA7!"/Ol J!E((/5/;(^"G9#"!$Q(J5(// fYeU!^%(!8D"5"%(52"!eC(/$@(# 0G8D"YeU!^"G9!QG#B "J5(/ J/#!",20(4$`,1%(H"J%( /784("!$Q(2$1OlJ!l,1>(C!eX$ CJ Hình 4: Header luật của Snort f]!ekn0(A7"$1C(/ J$0(.O"DE(J/+%(6(?"(08D"F( %(!F7.0J7" fY!ekn5"!$Q(J"!7u(^Q# /<.$QY?+HY?[Y„ f]$$ !enu()5nu.H"nu/#",:?2", FC0(/+(!enuG& jnu()? jn u.5nu0 j$!ezZŠ{kn fYO"n"s(()5.C(/G/J"!$Q( f!e, julnu()?lnu. <.$Q!,,ZŠ,,g (zY(S++TŒNN{‹}NN‹hYe^($1 *(F!eX$CJ`!e`0!eU!H=C!eX$ fX(CJ*l,z{8D" j0="27C (/!@!5Jg(/%(0a78D"0h fYCJ*l,HY^Ju"!$Q("(/0HYV*5J,? =(/7%(0HY&!e`0CJ j7%(eB= f‚nu()*l,z,{^J j"!$Q(18"(/=op() `s(&;(z,{5&B50(/HY&s(7%(/i(~Bs(u /i(~5"(/0+HYF[Y% fH`!eU!($1/((Fu8D"^$`(zY(S++TŒNN{ j07|1,27++TŒNN++T++T56((X$Y M %&$ %&B((0(T]()/M!e.X&‡?() Z<0$I((6$@(D&6(F",C(B(0(T] +(%&$?",350,2R$S 5KNNM Z=Dn!"OlJ!0, Z]}7B(1%(0(T]?B(1%(*l,/#7?5 ? •?S„ ZS# /#_(("1%(SF=Dn,#0!8 Fa•S$"(/(0(52 Hình 5: Mô hình mạng LAN áp dụng Snort điển hình … dnD8P(!"OlJ!DE( - Bước 1:HF51& FG",80,[D?)(6Ds ("%(Q!r!$Ž 5(" ""8D"o ()(?D,?k Hình 6: Màn hình theo dõi dùng Snortby Hình 7: Màn hình thống kê trên snortby Hình 8: Màn hình hiể tnhị các sensor trong hệ thống. - Bước 2:+G#P(?*l,uP(:(8#"("78 4(!"C •P†/etc/nsm/rules/local.rule5G5 alert icmp 192.168.1.6 any -> any any (msg:”Có tấn công ping of dead”; sid: 100009;) Hình 9: Snort rule đơn giản có dạng như trên •d*(0 DE(“/etc/init.d/nsm restart{ ZBước 3:o",3}7A!(=",5zping 192.168.1.8 –t{ ZBước 4:$Ž8D"Co($( Hình 10: Màn hình theo dõi realme dùng Sguil Hình 11: Cảnh báo có tấn công "Ping of dead" . Kịch bản demo phát hiện xâm nhập sử dụng Snort IDS !"#$%&'()*+,-!. (/0/1234(,567%(!8. /#_(("1%(SF=Dn,#0!8 Fa•S$"(/(0(52 Hình 5: Mô hình mạng LAN áp dụng Snort điển hình … dnD8P(!"OlJ!DE( - Bước 1:HF51&. ""8D"o ()(?D,?k Hình 6: Màn hình theo dõi dùng Snortby Hình 7: Màn hình thống kê trên snortby Hình 8: Màn hình hiể tnhị các sensor trong hệ thống. - Bước 2:+G#P(?*l,uP(:(8#"("78 4(!"C