SYN 스캐닝 캡처 규칙

SYN 스캐닝을 캡처하는 규칙을 작성해야합니다. alert tcp any any -> any any (flags:S,12; msg:"SYN"; sid: 1231213;)
다음 검색하려고 :
나는이 시도 nmap -sS myIP을하지만이 올바른 규칙을 작성하는 방법을 출력 "SYN"
을하지 않는 이유는 무엇입니까? 감사.SYN 스캐닝 캡처 규칙

출처

2012-10-16 Vladimir G.

너 바보 야 ... – Wug

왜? 그냥 내가 잘못하고있는 것을 써라. –

하나는 프로그래밍상의 질문이 아니며 아마도 수퍼 유저에 속한다. 다른 경우, 정확히이 용도는 무엇입니까? SYN 홍수에 대응하고 있습니까? SYN을 보내는 모든 주소를 nmapping하면 아무 일도 일어나지 않을 것이고 그 경우에는 더 많은 연결을 끊을 것이고 ISP는 아마도 수백 개의 IP를 포트하고 오프라인으로 노크하는 것을 볼 것입니다. 이는 원본 주소가 어쨌든 스푸핑되지 않았 음을 의미합니다. 또한 라우터가있는 경우 SYN 플러드 트래픽이 전혀 표시되지 않으며 합법적 인 출처에서 보내는 SYN 만 제공됩니다. – Wug

시도가 Snort manual 상태로 flags:S에 flags:S,12을 변경 :

예약 된 비트가 '1'과 '2', 'C'및 'E'로 치환되고, 각각 RFC 3168과 일치하도록, "명시 적 혼잡 통지 (ECN)를 IP에 추가". '1'과 '2'의 이전 값은 여전히 flag 키워드에 대해 유효하지만 더 이상 사용되지 않습니다.

그래서 12은 두 개의 예약 된 비트가 설정되어 있는지 여부를 확인합니다. 또한 내가 알고있는대로 설명서 flags:S은 귀하의 경우에 맞아야하는 SYN 세트만으로 패킷을 일치시킬 것입니다. 다른 플래그와 상관없이 일부 플래그를 일치 시키려면 *을 사용할 수 있습니다.

출처

2012-10-16 16:14:43

SYN 스캐닝 캡처 규칙

답변

관련 문제