●Snortルールの作成

 実際にルールを作成するには、冒頭で触れたように

ルールヘッダ(ルールオプション)

という形で記述する。ルールヘッダには、「alert」のほかに「pass」や「log」といった指定をすることができる。passは文字通りパスすることを指す。たとえば、Webサーバに対するアクセスをすべて記録したくない場合には、passを使用して、ポート80への通信は記録しないようなルールを作成すればよい。また、ルールにマッチングしたものを、アラートを出さずにログディレクトリにのみ残したい場合にはlogを使用する。

 ルールオプションに利用できるキーワードは数多く、今回は一部のみしか紹介しないが、すでに存在するルールセットの中から、参考になるものを取りだしてみるとよいだろう。

 ルールオプションの記述は、()でくくり、

([キーワード]:[値];[キーワード]:[値];[キーワード]:[値];・・・)

のように「[キーワード]コロン:[値]セミコロン;」という形で記述を行う、セミコロンで区切って複数のキーワードを記述することができる。

表3■キーワード(抜粋)

msg アラートメッセージ
content 指定した文字列、バイナリデータ(16進数)とのマッチングを行う。さらにオプションとしてoffset/depthがある
regex contentでワイルドカードを利用する際のキーワード
content-list あらかじめ用意したファイルから読み込みマッチングを行う
nocase 指定することで大文字・小文字を区別して検出する
flags TCPフラグの指定。FIN/SYN/RST/PSH/URG/及び予約ビット(2/1)、TCPフラグなし(0)の指定ができる。またすべてにマッチングする場合(+)、いずれかにマッチングする場合(*)、マッチングしない場合(!)の指定ができる
logto 特定のログファイルを指定する。/var/log/snortへログファイルを作成しておく
dsize パケットペイロードサイズの指定
classtype classification.configにあるタイプを確認し、記述しておけばログにタイプと優先順位(priority)が付記される
priority 優先順位の指定

●単純なルールを作成してみる

 一例として、telnetアクセスでのルールを作成してみよう。下記のルールはtelnetで「/etc/shadow」が含まれるものはアラートを出力するルールだ。しかし実用性はないため、テスト用と考えていただきたい。

 ルールの記述は、テスト用のルールセットを新規(ここではtest.rurles)に作成するか、すでにルールセットにあるローカル用のルールセット「local.rules」などに記述する。ルールを記述したらSnortを再起動し、動作を確認すればよい。なお、新規のルールセットを作成した場合には、snort.confでテスト用ルールセットを読み込むように指定しておく必要がある。第2回を参考にして設定しよう。

# cd /etc/snort
# vi test.rules ←snort.confで新規に作成したルールセットを読み込む設定をしておく


alert tcp any any -> 192.168.1.5 23 (msg:"telnet test"; flags:A+; content:"/etc/shadow"; nocase;)

 記述したら、snortを再起動し、telnet端末で「cat /etc/shadow」とでも入力すれば、アラートが出力されるだろう。

PREV 2/5 NEXT


Special

- PR -

Special

- PR -