snort и portcan loggin - PullRequest
Новая
       24

snort и portcan loggin

0 голосов
/ 26 апреля 2011

Пару дней назад я опубликовал вопрос о журнале портов, но это отдельный вопрос, касающийся новых журналов портов.

Время: 04 / 13-15: 29: 41.660134 event_id: 6042 xxxx -> xxxx (portscan) UDP-фильтр, отфильтрованный по приоритетам Portscan: 0 Количество подключений: 200 IP Count: 66 Диапазон IP-адреса сканера: xxxx: Порт xxxx/ Количество протоколов: 32 порта / Прото Диапазон: 137: 17500

Я пытаюсь определить 4 вещи из этого журнала, IP-адрес источника, IP-адрес назначения, порт источника, порт назначения.

Некоторые другиепараметры, которые я хотел бы, но по мере необходимости, будет тип сканирования портов и флаги для этого сканирования.

Еще раз, спасибо за любую помощь, которая может быть предоставлена.

1 Ответ

1 голос
/ 31 мая 2011

Протокол был UDP, поэтому нет доступных флагов (это вещь TCP). Журнал предполагает (если я правильно читаю), что было протестировано 32 порта, работающих в диапазоне от 137 до 17500, поэтому выберите 30 портов, кроме 137 и 17500, и это то, что было отсканировано. Чтобы получить более конкретную информацию, вам необходимо найти способ дезагрегации информации, разбить каждое предупреждение на собственное событие и зарегистрировать их по отдельности.

...