правило snort ips - отклонить работу, но drop и sdrop не работают

я пытаюсь запустить snort как IPS. поэтому я установил snort на сервер Ubuntu через apt-get и настроил daq_type как afpacket и daq_mode как inline. и 2 интерфейса, например eth1:eth2, затем я пишу правило для теста

reject tcp any any -> any any (sid: 1000005;)

это работает, но когда я меняю его на

drop tcp any any -> any any (sid: 1000005;)

это не работает. и когда я меняю действие на sdrop, результат тот же. и я устанавливаю snort из исходного кода, но результат был таким же. Вы можете помочь написать истинное правило?


snort
person Thomas Anderson    schedule 02.03.2014    source источник
comment
нет тела, чтобы помочь. Помогите, пожалуйста   -  person Thomas Anderson    schedule 06.03.2014

Ответы (1)


arrow_upward
10
arrow_downward

Snort может работать в трех разных режимах, а именно: tap (пассивный), inline и inline-test. Если вы хотите использовать правила отбрасывания для отбрасывания пакетов, вам нужно убедиться, что вы работаете в встроенном режиме. Судя по всему, вы, вероятно, не в встроенном режиме. Причина, по которой «отклонение» работает, заключается в том, что он отправит сброс для TCP, который остановит остальную часть этого потока, или отправит сообщение ICMP о недоступности порта обратно для UDP. См. следующие пояснения в руководстве snort (http://manual.snort.org/node29.html) в заголовках правил:

drop - блокировать и логировать пакет

Отклонить — заблокировать пакет, зарегистрировать его, а затем отправить сброс TCP, если используется протокол TCP, или сообщение ICMP о недоступности порта, если используется протокол UDP.

sdrop — заблокировать пакет, но не регистрировать его.

Если snort не работает в встроенном режиме, он не собирается фактически отбрасывать пакеты, он просто генерирует предупреждение (для отбрасывания) и передает пакеты.

См. следующее в руководстве snort по трем режимам: http://manual.snort.org/node11.html#SECTION00295100000000000000 В частности, встроенный режим описывается следующим образом:

Когда Snort находится в режиме Inline, он действует как IPS, позволяя запускать правила отбрасывания. Snort можно настроить для работы в встроенном режиме с помощью аргумента командной строки -Q и параметра конфигурации snort policy_mode следующим образом:

snort -Q
config policy_mode:inline

Вам нужно убедиться, что строка «config policy_mode:inline» в файле соответствует snort.conf, и когда вы запускаете snort, вы передаете параметр «-Q». Если оба из них не будут выполнены, он не упадет. Надеюсь это поможет!

person johnjg12    schedule 19.03.2014
comment
как я могу включить встроенный режим в Windows, как user5670635, упомянутый ниже - person ps34; 17.12.2015