Как обнаружить пару пингов, передаваемых с виртуальной машины на другую, с помощью Snort, который интегрирован в AlienVault?

Question

Для записи: я сделал следующую инструкцию (нашел их на сайте)

1. Я включил датчики фырканья (snort_syslog а также snortunified).

2. В Alienvault: ~# nano /etc/snort/rules/local.rules

3. Я сделал следующее правило

   alert icmp 192.168.1.130 192.168.1.120 -> any any
   (msg:"blablabla"; sid:1000004)
   

4. Сохранить и выйти

5. После этого я сделал:

   alienvault:~# perl /usr/share/ossim/scripts/create_sidmap.pl /etc/snort/rules/
   

6. alienvault:~# /etc/init.d/ossim-server restart

По некоторым причинам ничего не происходит в интерфейсе AlienVault в SIEM, когда я пингуюсь 192.168.1.120 от 192.168.1.130,

Есть идеи??

Answer 1

Я не знаю, актуально ли это, но, по моему мнению, в вашем правиле Snort есть ошибка:

Правило в Snort не может состоять из двух IP-адресов в первой части заголовка правила. В точке, где вы объявили IP "192.168.1.120", вы должны объявить порт.

Нужное решение выглядит следующим образом (если я правильно понял):

alert icmp 192.168.120 any -> 192.168.1.130 any (msg: "blablabla"; sid:1000004)

А также другой способ:

alert icmp 192.168.1.130 any -> 192.168.1.120 any (msg: "blablabla"; sid:1000005)

Для написания правил в правильном синтаксисе взгляните на руководство по snort: http://manual.snort.org/node29.html

Я надеюсь, что это может помочь вам.

/Крис