4 – amaliy ish. Mavzu: Retina skanerlashning audit funksiyasidan foydalanish. Audit yorlig'idan foydalanish

Qadam 1. Snort qoidalarini toping

Snort - bu zararli tarmoq trafigini aniqlash uchun qoidalardan foydalangan holda paketli snayner. Ushbu qoidalar antivirus dasturining imzolariga o'xshaydi. Farq shundaki, Snort ochiq manbali loyihadir, shuning uchun biz ushbu "imzolarni" ko'rishimiz mumkin.
Biz barcha Snort qoidalarini BackTrack-ning / etc / snort / Rules katalogiga kirib topa olamiz. Keling, uning mazmunini ko'rib chiqaylik.
CD / etc / snort / qoidalari
Endi ushbu katalogdagi fayllarni sanab o'tamiz.

Yuqoridagi skrinshotda ko'rib turganimizdek, ushbu katalogda Snort uchun bir nechta qoidalar mavjud. Ushbu fayllarning har biri qoidalar toifasini, ba'zilari esa yuzlab qoidalarni o'z ichiga oladi.

Qadam 2. Snort qoidalarini ko'rish

Snort qoida fayllari oddiy matnli fayllar, shuning uchun ularni istalgan matn muharriri bilan ochish va tahrirlash mumkin. Biz Kwrite muharriridan foydalanamiz. Porn.rules faylini ochamiz. Ushbu qoidalar to'plami simli aloqa orqali o'tadigan pornografiyani aniqlash uchun mo'ljallangan. Bu juda qadimgi qoidalar to'plami va ko'pchilik sysadminlar bundan foydalanmaydilar.
Kwrite /etc/snort/porn.rules

Bu erda biz ushbu qoidalar har xil turdagi pornografiyani aniqlash uchun mo'ljallanganligini ko'rishimiz mumkin. Agar sysadminingiz pornografiyani yuklab qo'yayotganingizni qanday bilishini bilsangiz, endi bilasiz!

Qadam 3. Qoidani o'rganish

Keling, bir nechta oddiy qoidani ko'rib chiqamiz va tahlil qilamiz. Scan.rules faylini ochamiz.
Kwrite /etc/snort/scan.rules

Endi biz tanlangan qoidani alohida matnli faylga ko'chiramiz va uning bajarilishini tahlil qilamiz.

Qadam 4. SF skanerlash qoidasini tahlil qilish

Ushbu qoida nmap va hping kabi turli xil skanerlash vositalari bilan bajarilgan skanerlarni aniqlash uchun mo'ljallangan. Ushbu brauzerlardan biri SYN-FIN deb nomlanadi. Ushbu brauzer maqsad tizimda qaysi portlar ochiqligini aniqlash uchun TCP paketlarini SYN va FIN bayroqlari o'rnatilgan holda yuboradi.
Ushbu turdagi paketlarni hech qachon tabiiy trafik tahlilida ko'rish mumkin emas, chunki ikkala SYN va FIN bayroqlari yoqilgan paket tizimdan (SYN) ulanishni ochishni va bir vaqtning o'zida ulanishni (FIN) yopishni so'raydi.

Ushbu bayroqlar o'rnatilgan har qanday paket tizim tekshiruvini o'tkazishga urinish ekanligini ko'rish juda oson va shuning uchun tizim ma'muri bu haqda ogohlantirilishi kerak.