4 – amaliy ish. Mavzu: Retina skanerlashning audit funksiyasidan foydalanish. Audit yorlig'idan foydalanish

Shaxsiy qoidalarning 2-misoli
1-misoldagi stsenariyga asoslanib, siz buxgalteriya serverlariga tashqi kirishga ruxsat berishni xohlaysiz, lekin hech kim ba'zi fayllarni nusxa ko'chirmasligini ta'minlaysiz. Sizda ish haqi to'g'risidagi barcha ma'lumotlarni o'z ichiga olgan payroll.xls fayli bor deb taxmin qiling (ichki va tashqi tomondan juda maxfiy fayl). Siz ushbu serverlarga yo'naltirilgan va maxfiy fayl nomini o'z ichiga olgan har qanday ichki yoki tashqi trafikni kuzatish uchun qoida yozishingiz mumkin. Buni paketlarning haqiqiy tarkibini qidiradigan tarkib opsiyasi yordamida amalga oshirish mumkin. Qoida quyidagicha ko'rinadi:
ogohlantirish tcp! har qanday< any (content: "payroll.xls";msg: "Попытка доступа к файлу зарплат")
E'tibor bering, operatsiya belgisi! yana shuni anglatadiki, biz ushbu serverlardan boshqa joylardan buxgalteriya serverlariga yo'naltirilgan trafikka qiziqish bildiramiz. Bu serverlararo trafik signalizatsiyasini yo'q qiladi. Shuni ham unutmangki, \\ belgisi sizga ko'p satrli qoidalarni yozishga imkon beradi va kontent opsiyasi sizga payroll.xls matnini paketlardan qidirishga imkon beradi. Natijada, server mashinalari Internetga kira oladilar, ammo agar ushbu fayl shu vaqtgacha ulardan yuklab olinsa, bu haqda sizga xabar beriladi.
Boshqa variantlar deyarli har qanday trafikni aniqlash uchun qoidalar yozishga imkon beradi. Agar sizning qoidalaringiz boshqa tashkilotlarni qiziqtirishi mumkin bo'lsa, ularni rasmiy ravishda qayta tarqatiladigan qoidalar to'plamiga kiritish uchun ularni Snort ishlab chiquvchilariga yuborish kerak. Agar buni qilishga qaror qilsangiz, barcha vositalardan foydalanishga harakat qiling. hujjatlashtirishmsg, sid, rev, classtype va ustuvorlik kabi. Shuningdek, qoidalaringizni sinab ko'ring, ular siz tutmoqchi bo'lgan barcha faoliyat turlarini chinakam qamrab olishi va noto'g'ri pozitsiyalar bermasligi uchun.
Maqolada ichki tarmoq perimetrini, shu jumladan quyi tizimlarni kuzatish uchun OS Debian va Snort asosida ishlaydigan IDS tizimini joriy etish misoli ko'rib chiqiladi:
- hujumni aniqlash xizmati Snort;
- Snortdan olingan hujum hodisalari yozuvlarini saqlash uchun MySQL ma'lumotlar bazasi serveri;
- Snort hodisalarini tahlil qilish, qayta ishlash va vizualizatsiya qilish uchun interfeys (nginx, php5-fpm, BASE).