高级psad主题:从签名匹配到操作系统指纹识别
1. psad_ip_len关键字
psad_ip_len关键字用于指定iptables日志消息中LEN字段的匹配标准。它与psad_dsize关键字类似,但不减去网络和传输层头部的长度。该关键字支持范围匹配,如n:m、 n的形式。例如,要测试LEN字段是否大于100字节但小于200字节,可以在签名中添加 psad_ip_len: 100:200 。
2. 特定Snort规则检测
- 检测ipEye端口扫描器
- Snort规则ID 622用于检测ipEye扫描器:
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN ipEye SYN scan";
flags:S; seq:1958810375; reference:arachnids,236; classtype:attempted-recon;
sid:622; psad_id:100197; psad_dl:2;)
- 该规则检测TCP头部的SYN标志和特定的TCP序列号1958810375。
- 要使用psad检测ipEye扫描器,需在iptables命令行中使用`--log-tcp-sequence`选项,使iptables在数据包命中LOG规则时将TCP序列号包含在日志消息中。例如:
超级会员免费看
订阅专栏 解锁全文


被折叠的 条评论
为什么被折叠?



