|
编辑规则
-------------------------------------------------------------------------------- CuteSniffer 允许用户设定用于分析网络信息的规则. 一旦发现与某一规则相符合的信息包, CuteSniffer 可发出警告信息来通知网络管理人员. CuteSniffer 的规则利用了目前较为流行的 Snort规则描述语言(rules description language). 这一语言的特点是简单, 实用. 很容易为管理人员掌握. 而且有很多公共的数据库提供现成的规则. 因此管理人员很容易根据自己的需要找到解决方案 (如对抗新出现的病毒). 利用这种语言使我们不但可对信息的来源地址, 端口进行分析; 同时也可对信息的内容进行分析 (如是否含有某些关键词). 关于规则的解释请访问 www.snort.org. CuteSniffer 的规则由两部分组成, 规则的端部和规则的设定部. 而规则的设定部又由若干个设定单元所组成. 以下是规则的一般表达式. H (O1; O2; ...) 其中 H 表示规则的端部, 括号内是规则的设定部, 其中 O1, O2 等表示设定单元, 单元之间以分号隔开. 以下是二个 CuteSniffer 规则的例子: tcp any any -> any 21 (msg:"FTP DELE overflow attempt";content:"DELE "; nocase; content:!"|0a|"; within:100;) tcp any any -> any 21 (msg:"FTP CWD ~root attempt"; content:"CWD "; content:" ~root"; nocase;) 用户可利用规则管理器进行规则的编辑. 首先点击工具拦中的 规则管理器 按键, 或选择 设定 -> 规则管理... 菜单, 来起动规则管理器. CuteSniffer 将所有规则接功能分为 27 个组, 每个组中含有若干预设的规则. 用户可根据自已的需要激活某些规则 (点击规则名称前的方格). 用户可以新增或修改任一组中的规则. 方法是先在左边的列表中选择一组规则, 然后按下 新增 或 修改 按钮. 接着在对话窗中设定规则的名称, 规则的端部和设定部. 规则的端部 规则的端部定义信息包应有的协议, 来源地址, 来源端口, 方向, 终点地址和终点端口. 1. 协议: 可取的值包括: tcp, udp, icmp, and ip. 2. IP 地址: 你可在来源地址和终点地址 的项目中输入特定的 IP 地址. 也可输入 "any" 表示信息包含任何地址都符合本规则对地址的要求. 如果你想定义一个地址 范围则可在地址后加一掩码(Mask), 可取的掩码有 /24, 指 Class C 网络; /16, 指 Class B 网络. 例如, 216.104.129.100/24 包括了从 216.104.129.1 到 216.104.129.255 的所有地址. 如果你想定义数个不相连的地址, 则可在 一方括号内将所有地址列出, 地址之间用逗号分开, 如下面的例子所示. tcp [216.104.129.0/24,10.1.1.0/24] any -> any 111 (content: "|00 01 86 a5|"; msg: "external mounted access";) 如果你想设定信息包不应含有某些地址, 则可在这地址前加一 '!' 符号. 如下例所示, tcp !216.104.129.0/24 any -> any any (flags:S+; msg:"SYN packet";symbol:"SYN";) 最后你可为常用的地址设立一地址变量, 然后直接输入地址变量. 注意地址变量的第一个字母必须是 '$'. 3. 端口: 你可在来源端口 和终点端口拦目中输入信包应具有的端口编号或者 "any" 表示任何端口皆可. 如果你想定义一个端口的范围, 则可在两端口编号间加一冒号, 例如: 1:200 表示端口从 1 到 200, :60 意味着所有小于或等于 60 的端口, 500: 则表示所有大于或等于 500 的端口. 4. 方向: 可取的值是 '->' 和 '<>'. 选择 '->' 意味着信息包的地址与端口必须与规则的相应地址与端口符合, 即信息包的来源地址 与规则的来源地址符合, 信息包的来源端口也须要与规则的来源端口符口, 对终点地址和终点端口也有相同的要求. 如果方向的取值是 '<>' 时则信息包的地址和端口要符合以上要求或者反向地符含以义上要求, 即信息包的 来源地址与规则的终点地址符合, 来源端口和规则的终点端口符合, 信息包的终点地址与规则的来源地址相符含, 而终点端口与规则的来源端口一致. 规则设定 规则设定部由一个或多个设定单源所组成, 而每一设定单元又由关键词和参数两部分组成, 关键词与参数之间用冒号分开. 每个设定单元必须以分号做为终结. 以下是各个可取的关键词及其参数: 1. msg - 对规则的一个简单描述其参数为一字符串 例如, msg: "SYN packet". 2. ttl - 检测 IP 端部中 的 TTL. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 3. tos - 检测 IP 端部中 的 TOS. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 4. id - 检测 IP 端部中 的 fragment ID field. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 5. ipoption - 检测 IP 端部中 的 IP option fields. 以下是其参数可取的值: rr - Record route eol - End of list nop - No op ts - Time Stamp sec - IP security option lsrr - Loose source routing ssrr - Strict source routing satid - Stream identifier 6. fragbits - test the fragmentation bits of the IP header. There are three bits that can be checked, the Reserved Bit (R), More Fragments (M) bit, and the Don't Fragment (D) bit. You can use '+' or '-' to indicate a bit is set or no. You can also test one or more bits. For example, R+M- means to match Reserved Bit on and More Fragments bit off; D- matches Don't Fragment bit is no set. 7. dsize - 检测信息包的信息容量 (packet's payload size). 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 8. flags - 检测 TCP 端部中的TCP flags for certain values. There are six bits that can be checked, F - FIN S - SYN R - RST P - PSH A - ACK U - URG You can use '+' or '-' to indicate a bit is set or no. You can also test one or more bits. For example, F+A- means to match FIN Bit on and ACK bit off; P- matches PSH bit is no set. 9. seq - 检测信息包的 TCP 序列号 (TCP sequence number). 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 10. ack - 检测信息包的 TCP 确认号 (TCP acknowledgement). 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 11. itype - 检测 ICMP type field. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 12. icode - 检测 ICMP code field. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 13. icmp_id - 检测 ICMP ECHO ID. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 14. icmp_seq - 检测 ICMP ECHO 序列号 (sequence number). 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 15. content - 查找信息包中是 否含有某一特定内容. 其参数为一字符串, 内容中如含有二进制数码则应将其转换成六进制并用 (|) 分隔, 例如, content:"|90C8 C0FF FFFF|/bin/sh". 16. offset - 用于 content 之后, 其参数为一数字, 指示查找的起始位置. 17. depth - 用于 content 之后, 其参数为一数字, 指示查找的深度. 18. nocase - 用于 content 之后, 无参数. 指示查找时不区分字母大小写. 19. ip_proto - IP header 的协议号码, 其参数为一数字. 20. sameip - 检测信息包的来源地址是否等于其终点地址无参数. 21. distance - 用于两 content 之间, 指示两字符串之间的矩离. 其参数为一数字. 22. within - 用于两 content 之间, 指示两字符串必须在一定矩离之内. 其参数为一数字. 23. tcpres - 检测 TCP reserved field. 其参数是一数字. 在参数之前可加入以下运算符, ! (不等), > (大于), < (小于), >= (大于或等于), <= (小于或等于). 如无运算符则意味着相等. 告警设定 用户可以设置告警, 当与某一规则相符合的信息包被俘获时, CuteSniffer 可发出告警声音, 显示告警信息和发出电子邮件. 告警的设定可按如下步聚进行. 1. 首先点击工具拦中的 规则管理器 按键, 或选择 设定 -> 规则管理... 菜单, 来起动规则管理器. 2. 选择你想设置告警的规则 3. 按下 告警设置 按键 4. 在告警对话窗口中输入以下信息: 引发告警所须事件发生次数 - 设定在告警发生前, 需要俘获多少与规则符合的信息包. 最大告警次数 - 在关闭软件前, 最多能为这一规则发多少次告警 显示告警信息 - 将告警信息显示在告警视窗中. 声音 - 发出告警声音 发电子邮件 - 发送电子邮件, 你需要输入以下数据: 电子邮件服务器, 发件和收件地址. |
|
|
