У меня возникла проблема, связанная с тем, что когда я добавляю пользовательское правило в свой интерфейс WAN (SNORT), я не могу запустить интерфейс, даже самые простые правила пинга не работают, несмотря на то, что они работали очень хорошо весь день.

Проблемы начались после того, как я начал проводить тестовый мониторинг некоторого трафика SMB по следующему правилу:

alert tcp any any -> $HOME_NET[139, 445] (msg:"Home network SMB triggered"; flow:to_server,established; content:"P|00|S|00|E|00|X|00|E|00|S|00|V|00|C"; nocase; reference:url,xinn.org/Snort-psexec.html; reference:url,doc.emergingthreats.net/2010781; classtype:suspicious-filename-detect; sid:2010781; rev:3; metadata:created_at 2010_07_30, updated_at 2010_07_30;)

Не уверен, что пошло не так, но правило не сработало, и теперь другие мои собственные правила тоже не работают (так как они мешают мне запустить интерфейс).

Кто-нибудь знает, что случилось?

1 ответ1

0

Проблема с вашим правилом в интервале.

alert tcp any any -> $ HOME_NET [139, 445]

анализируется как

  • SrcIP: любой
  • SrcPort: любой
  • DstIP: $ HOME_NET [139,
  • DstPort: 445]

который недействителен

ты хочешь:

alert tcp any any -> $HOME_NET [139,445] 

Это позволит проверить правило.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .