Новые ответы

snort и smtp-сервер,

Gaidamak, 09-Фев-09, 10:56 [смотреть все]

Поднял snort с дефолтными рулесами, скачанными через oinkmaster. Параноидален до невозможности. Самым страшным злом считает base64 и почти в каждом входящем письме видит исполняемый код типа такого:
SHELLCODE x86 NOOP"; content:"|90 90 90 90 90 90 90 90 90 90 90 90 90 90
Нет ли на просторах интернета вменяемого набора правил для защиты почтового релея не от мнимых, а от более-менее подлинных угроз?

Ответить | Сообщить модератору

snort и smtp-сервер, Scarab, 11:04 , 09-Фев-09 (1)

snort и smtp-сервер, Gaidamak, 11:38 , 09-Фев-09 (2)
>Рекомендация в данном случае крайне простая - отключайте по одному правила, которые
>Вы считаете излишне жёсткими. Несколько дней он Вам мозг потрахает, без
>этого никуда - потом всё войдёт в нормальную колею. Собственно, задача
>snort в том и состоит, чтобы трахать мозг админу :)
Оно как бы и понятно, но есть ощущение, что этот велосипед давно уже изобрели, и есть где-то устоявшаяся за годы практика скрещивания snort'а c smtp-сервером.
Ответить | Сообщить модератору

snort и smtp-сервер, Gaidamak, 21:33 , 09-Фев-09 (3)
Ковыряю snort дальше. Задача - отучить это чудо генерить алерты SHELLCODE на 25 порту.
В дефолтном snort.conf есть параметр.
portvar portvar SHELLCODE_PORTS !80
Меняю на [0:24,26:79,81:65535].
Перезапускаю. В логах вижу, что переменная SHELLCODE_PORTS изменилась как надо.
Однако алерты не прекращаются:

[**] [1:1394:9] SHELLCODE x86 NOOP [**]
[Classification: Executable code was detected] [Priority: 1]
02/09-20:56:53.928938 209.xxx.xxx.xxx:36160 -> 81.xxx.xxx.xxx:25
TCP TTL:240 TOS:0x10 ID:0 IpLen:20 DgmLen:2862
***AP*** Seq: 0xA9B4FDC5 Ack: 0x3F5F59F3 Win: 0x456 TcpLen: 20

Лезу в shellcode.rules. Там нет и намека на SHELLCODE_PORTS
alert ip $EXTERNAL_NET any -> $HOME_NET all (msg:"SHELLCODE x86 NOOP"; content:"|90 90 90 90 90 90 90 90 90 90 90 90 90 90|"; reference:arachnids,181; classtype:shellcode-detect; sid:648; rev:9;)
Руками вбиваю эту переменную во все правила:
alert ip $EXTERNAL_NET any -> $HOME_NET $SHELLCODE_PORTS (msg:"SHELLCODE x86 NOOP"; content:"|90 90 90 90 90 90 90 90 90 90 90 90 90 90|"; reference:arachnids,181; classtype:shellcode-detect; sid:648; rev:9;)
Перезапускаю. Алерты все равно прут. Где и что я делаю не так?

Ответить | Сообщить модератору

snort и smtp-сервер, Anton Shetvsov, 08:51 , 14-Окт-09 (4)
snort и smtp-сервер, valirus, 12:39 , 29-Окт-12 (5)