Правило фырканья, чтобы увидеть трафик - PullRequest
Новая
       7

Правило фырканья, чтобы увидеть трафик

0 голосов
/ 30 апреля 2019

Мне нужна помощь по следующим 2 вопросам, чтобы создать правила для фырканья.

  1. Создание оповещения при использовании сетевого трафика, который указывает на Viber.
  2. Предупреждение для любого пакета размером> 100 байт из сети 172.20.0.0 с SNM 255.240.0.0 предназначен для порта 80.

1 Ответ

0 голосов
/ 13 мая 2019

а. Взято из https://commons.erau.edu/cgi/viewcontent.cgi?article=1477&context=jdfsl

  • Анализ, проведенный в работе, охватывает последнюю версию Viber 6.2.2, и все результаты были проверены для платформ Android и iOS.
  • Viber обычно осуществляет связь через UDP-порты 7985, 7987, 5243 и 9785 для голосовых вызовов. Вы захотите создать, написать правила, которые обнаруживают трафик TCP и UDP на этих упомянутых портах. например.

Так что-то вроде этого: - alert udp any any -> $HOME_NET 7985 (msg: "Viber Traffic"; sid:10000001; rev: 1;)

б. Убедитесь, что ваш $ HOME_NET правильно настроен в вашем snort.conf, следовательно, подсети, которые вы хотите иметь в "home" $ ​​HOME_NET. - alert tcp 172.20.0.0 any -> $HOME_NET 80 (msg: "Traffic from the 172.20.0.0 addr"; dsize:>100;sid:10000001; rev: 1;)

...