Help: Snort logs intepreteren?
Ik ben op zoek naar een kundige vrouw of man, die mij
eenmalig wil helpen bij het intepreteren van mijn snort logs.
Ik ben maar een hobbyistische thuisgebruiker en alles wat ik
van computers, programmeren en netwerken weet, heb ik gedaan
via zelfstudie.
OK, ik weet best veel (zeggen ze), maar natuurlijk niet
alles en ik neem de veiligheid van mijn computersysteem
(misschien iets te) serieus.
Ik draai sinds 1998 Linux, omdat ik dat een heel comfortabel
platform vindt. En sinds ik een kabel internet verbinding
heb en dus vrijwel continu online ben, draai ik natuurljik
Snort.
Ik loop vrijwel dagelijks mijn logfiles na en raak min of
meer in paniek van de snort log files.
Vaak kom ik dingen als NOP en SackOK tegen in mijn snort
logs en uit het boekje "Hacking, de kunst van het uitbuiten"
van Jon Ericson heb ik begrepen dat NOP een nul byte is, die
je aan een buffer kan toevoegen om een overbrugging te maken
om vervolgens eigen code toe te voegen.
SackOK heb ik opgezocht via Google en daar werd ik ook niet
bepaald vrolijk van. Ik heb namelijk begrepen dat dit
bevestigd dat ik met "gespoofde" pakketjes heb te maken :(
Wat ik graag zou willen, is dat iemand die kundiger dan ik
is, een frament van mijn snort logs bekijkt. Ik heb het dan
over, pak 'm beet, 7 regels tekst.
Ik hoop dat je aan de hand hiervan kan bepalen of mijn
paranoide nu gegrond is, of dat ik de boel overdrijf.
Hartelijk dank alvast en ik wens een ieder een fantastishe
jaarwisseling.
Marti van Lin,
Maastricht
Hieronder vindt je een fragment van een van mijn snort
logfies en eigenlijk staat er steeds het zelfde in, per tcp
of udp poort.
Mijn eigen IP adres heb ik natuurlijk veranderd in het fake
adres 95.x.x.x. ;)
12/23-14:03:44.058790 125.100.14.85:3016 -> 95.106.532.118:135
TCP TTL:112 TOS:0x20 ID:5713 IpLen:20 DgmLen:48 DF
******S* Seq: 0x8CBCDE70 Ack: 0x0 Win: 0xFAF0 TcpLen: 28
TCP Options (4) => MSS: 1460 NOP NOP SackOK
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
12/23-14:03:47.017933 125.100.14.85:3016 -> 95.106.523.118:135
TCP TTL:112 TOS:0x20 ID:6664 IpLen:20 DgmLen:48 DF
******S* Seq: 0x8CBCDE70 Ack: 0x0 Win: 0xFAF0 TcpLen: 28
TCP Options (4) => MSS: 1460 NOP NOP SackOK
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
Ik wil er nog even aan toevoegen, dat ik geen enkele poort
heb open staan, maar dat er wel enkele services draaien:
Kdm, X en postfix. Maar ja, ik vertrouw de Suse Firewall 2
voor geen enkele meter!
Ben reuze benieuwd.
Heel veel liefs,
Marti
zoveel als jij, maar het gevoel wat jij hebt, dat had ik
altijd in de tijd toen ik nog op de windows zat :P
Die NOP's en SackOK's slaan op de TCP opties in het pakketje wat de alert getriggerd heeft. Het zegt helemaal niets over het alert zelf.
Is de output plugin geconfigureerd in snort.conf?
output alert_fast: myalerts
Het valt dus reuze mee...
De paranoya blijft jammer genoeg toch. Het is ontstaan toen
ik in 1987 mijn eerste bulltinboard begon te draaien.
Dankzij je reactie, is het echter weer een stuk minder dan
afgelopen weken.
Hartelijke groeten,
Marti
Bekijk je zulke dingen omdat je het interessant vindt, of ben je echt bang
voor inbraak?
deze manier, weinig aan zien. Al helemaal niet of er iemand
echt zit te rotzooien of dat dit normale Internet ruis is..
Veel interessanter is de alert of het hele pakketje (dus
inclusief de data).
@ SirDice: dit logbestand fragment is dus eigenlijk niets
zeggend?
Door de antwoorden van SirDice, begin ik toch het idee te
krijgen, dat ik als een speer op zoek moet naar documentatie
over Snort. Ik heb namenlijk niets aan de configuratie
gedaan. Heb het RPM pakket via Yast2 geinstalleerd en dat
was het dan. Ik heb uit de laatste boodschap van SirDice
brepen dat deze logfiles dus vrijwel niets zeggend zijn in
deze vorm.
Dat wordt dus weer de nodige uurtjes lezen (wat ik overigens
graag doe).
Maar goed, mijn nieuwe MultiOS release heeft de hoogste
prioriteit, als ik die heb vrijgegeven, kan ik me eens
lekker gaan verdiepen in Snort...
Hartelijke groeten,
Marti
gemakkelijker.. Het belangrijkste is natuurlijk dat je
snort goed geconfigureerd is. Goede snortlog analyzer =
http://jeremy.chartier.free.fr/snortalog/
kan er altijd later nog een loganalyzer overheen ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?