Snort配置入侵检测规则

1、Snort三层路由IPS模式

1.1 网络部署

sudo vim /etc/netplan/00-installer-config.yaml

# This is the network config written by 'subiquity'
network:
  ethernets:
    ens32:
      dhcp4: false
      dhcp6: false
      addresses: [192.168.207.128/24]
    ens33:
      dhcp4: false
      dhcp6: false
      addresses: [192.168.32.128/24]
    ens35:
      dhcp4: true
  version: 2

echo 1 >/proc/sys/net/ipv4/ip_forward
sysctl -w /etc/sysctl.conf

route add -net 192.168.32.0/24 gw 192.168.207.128

sudo route add -net 192.168.207.0/24 gw 192.168.32.128

网络已经配置完毕，攻击机会经过snort进行流量转发

sudo iptables -I FORWARD -j NFQUEUE --queue-num=4
sudo iptables -I OUTPUT -j NFQUEUE --queue-num=5

或者

sudo iptables -I FORWARD -i ens32 -o ens33 -j NFQUEUE --queue-num=4
sudo iptables -I FORWARD -i ens33 -o ens32 -j NFQUEUE --queue-num=5

1.2 功能测试

vim /usr/local/etc/rules/local.rules

alert icmp any any -> $HOME_NET any (msg:"ICMP test detected"; sid:10000001; rev:001; classtype:icmp-event;)

vim /usr/local/etc/snort/snort.lua

设置HOME_NET地址为内网主机地址段

snort -c /usr/local/etc/snort/snort.lua -i ens32:ens33 -Q -R /usr/local/etc/rules/local.rules --daq-dir /usr/local/lib/daq --daq afpacket --daq-var fanout_type=hash -A alert_fast

1.3 规则防护测试

vim /usr/local/etc/rules/local.rules

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"检测到SSH流量";
    classtype:suspicious-login; sid:1000001; rev:1;)

ssh [email protected]

发现检测到告警事件

drop tcp $EXTERNAL_NET any -> $HOME_NET 23 (msg:"丢弃到Telnet流量";
    classtype:suspicious-login; sid:1000002; rev:1;)

可以检测流量告警，但是不会执行丢弃

注：Snort3中配置IPS inline模式后可以检测攻击，但是不能转发流量。

2、漏洞检测规则

1、vsftpd_234_backdoor

开发者在 2.3.4 的 vsftpd 中植入了一个后门，该后门的使用方式如下：

在 21 端口，使用随机用户名（末尾以 笑脸结尾，使用随机密码在 TCP 流上进行 FTP 协议的认证，之后关闭连接。再新建一个 TCP 流，连接服务端的 6200 端口，此时服务端会将 /bin/sh 绑定到 6200 端口，即可进行命令执行。

use exploit/unix/ftp/vsftpd_234_backdoor
set rhost 192.168.32.10
run

alert tcp $EXTERNAL_NET any -> $HOME_NET 21 (msg:"VSFTPD 后门利用攻击检测";
    content:":)"; classtype:attempted-admin; sid: 1000003; rev:1;)

再次使用MSF进行攻击测试，检测告警事件如下

2、Nmap Xmas扫描

Xmas扫描探测目标时，同時送 FIN, PSH, URG 至目标主机

nmap –sX -p80,8081 192.168.32.10

alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"Nmap Xmas扫描检测";
    flags:FPU; classtype:network-scan; sid:1000004; rev:1;)

已成功检测到扫描

3、检测FTP爆破

如果1分钟4次登录不成功即可认为爆破行为

hydra -l user -w 10 -P /usr/share/wordlists/rockyou.txt -f 192.168.32.10 ftp

alert tcp $EXTERNAL_NET any -> $HOME_NET 21 (msg:"检测到FTP爆破";
    content:"USER";detection_filter:track by_src, count 4, seconds 60;
    classtype:unsuccessful-user; sid:1000005; rev:1;)

可以看到检测到FTP爆破攻击

原文始发于微信公众号（安全孺子牛）：Snort配置入侵检测规则