snort 실습

Server 10.10.10.10

telnet server 구성

web server 구성 (관리자 페이지 구성 → /var/www/html/admin/index.html)

DNS server 구성 (www.kh.com)

 

1. telnet login 성공시 탐지

Last login이라는 문구가 포함되어있으면 LOGIN SUCCESS라는 탐지가 발생하게 설정

강사님이 설정한 정책

alert tcp 10.10.10.10 23 -> any any (msg:"TELNET LOGIN SUCCESS"; flags:AP; content:"Last login"; nocase; sid:1000002)

putty에서 telnet을 접속성공하면 wireshark에서 Last login이라는 문구가 뜬다

/var/log/snort/alert에서 실시간 확인

 

2. telnet login 실패시 탐지

Login incorrect라는 문구가 포함되어있으면 LOGIN FAILED라는 탐지가 발생하게 설정

강사님이 설정한 정책

alert tcp 10.10.10.10 23 -> any any (msg:"TELNET LOGIN FAILED"; flags:AP; content:"Login incorrect"; nocase; sid:1000003;)

putty에서 telnet을 접속실패하면 wireshark에서 Login incorrect라는 문구가 뜬다

alert에서 실시간 확인한 모습

 

3. 외부에서 web server 접속 요청시 탐지

강사님이 설정한 정책

alert tcp !10.10.10.0/24 any -> 10.10.10.10 80 (msg:"WEB ACCESS"; flags:AP; content:"GET"; depth:4; content:!"/admin"; sid:1000004;)
[admin page에 접속하려고 할 때 WEB ACCESS와 ADMIN ACCESS가 같이 뜨기 때문에 내용에 /admin이 안뜰때만 WEB ACCESS 정책이 출력되게 변경]

 

4. 외부에서 관리자 페이지 요청시 탐지

강사님이 설정한 정책

alert tcp !10.10.10.0/24 any -> 10.10.10.10 80 (msg:"ADMIN ACCESS"; flags:AP; content:"GET"; content:"/admin/"; depth:11; sid:1000005)
[/admin 뒤에 /를 붙이지 않으면 ADMIN ACCESS가 2번이 출력된다. 왜냐하면 admin page로 접속하려고하면 요청이 보내졌지만 다시 요청하라고 오기 때문]

 

5. land attack (icmp) 탐지

snort

alert에서 탐지

 

6. land attack(tcp) 탐지

window 값은 0x200에서 200인데 이걸 16진수로 변환하면 512다

snort

alert에서 탐지

 

7. ping of death 탐지

강사님이 설정한 정책

alert icmp any any -> 10.10.10.10 any (msg:"PING OF DEATH"; content:"XXXXXX"; itype:8; icode:0; sid:1000010;)

snort에서 확인

alert에서 확인

 

8. syn flooding 탐지

강사님이 설정한 정책

alert tcp any any -> 10.10.10.10 80 (msg:"SYN FLOODING"; flags:S; window:512; threshold:type both, track by_dst, count 1000, seconds 3; sid:1000006;)

window size = 512

snort로 확인했을 때

실시간으로 탐지된 걸 표시

 

9. udp flooding 탐지

강사님이 설정한 정책

alert udp 10.10.10.0/24 any -> 10.10.10.10 53 (msg:"UDP FLOODING"; content:"XXXXXXX"; threshold:type both,track by_dst,count 1000,seconds 3; sid:1000007;)

없는 Port로 공격을 하면 응답이 안오니까 실제 열려있는 Port인 53으로 공격을 진행

snort에서 확인

alert에서 확인

 

10. icmp flooding 탐지

강사님이 설정한 정책

alert icmp 10.10.10.0/24 any -> 10.10.10.10 any (msg:"ICMP FLOODING"; itype:8; icode:0; threshold:type both,track by_dst,count 1000,seconds 3; sid:1000008;)

snort

alert에서 확인