Newsgroup: it.comp.sicurezza.unix
Titolo: Configurazione di SNORT

Ciao a tutti.
Il mio problema riguarda una particolare configurazione di SNORT (in
questo caso è un IDS su rete interna), ed avrei bisogno di vedere tutti
i tentativi di connesione telnet sulla mia rete.
Per far questo ho configurato il file .conf con la variabile
TELENET_SERVERS = HOME_NET, ma così facendo tutte le sessioni AS-400
(che sono fatte sulla 23) vengono tracciate e mi riempiono il log.
Dovrei definire la variabile escludendo alcuni IP di reti diverse, ma
non riesco a capire la sintassi, ho provato:
$TELENET_SERVERS ![
192.168.1.10/24,192.168.2.35/24,..
.]
ma questa soluzione non mi fà tracciare più niente, sarà perchè ho
specificato la subnet mask e lui decide che tutta la sotto rete è buona?
$TELENET_SERVERS ![192.168.1.10,192.168.2.35,...]
poi ho provato così ma se frega e continua tracciare tutto.
Che devo fare???? 
Help me e grazie in anticipo a chi avrà voglia di rispondermi.
Alfred
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

Scusate per l'orrere TELENET, poi il copia ed incolla a propagato il
danno...


 poi ho provato così ma se frega e continua tracciare tutto.
L'operatore di negazione deve essere usato nelle regole, non nella
dichiarazione delle variabili. La tua dichiarazione dovra' essere:
var TELNET_EXCLUDE [192.168.1.10,192.168.2.35,...]
e la regola sara', poi, del tipo:
log tcp any any <> !$TELNET_EXCLUDE 23 (msg:"TiLoggoTutto!";flags:A+;...
Fabio

 dichiarazione delle variabili. La tua dichiarazione dovra' essere:
Lascia perdere, e' una stupidaggine. Io stesso ho uso l'operatore
melle dichiarazioni :-/ Deve essere l'ora tarda. Prova a postare 
qualche dettaglio in piu' sulle tue regole e sulle dichiarazioni, 
se gia' non hai trovato il problema.
Fabio

 dichiarazione delle variabili. La tua dichiarazione dovra' essere:
Effettivamente il problema era questo, non sapevo come si poteva 
dichiarare le variabili, anche perchè su SNORT USER MANUAL 1.9.1 non
è spiegato dettagliatamente.
La negazione nella variabile non me la sono inventata, ho trovato un 
HOWTO sul sito dell'università di TRIESTE e li dichiaravano la variabile
nel seguente modo:
VAR EXTERNAL_NET !$HOME_NET, per cui ho fatto la prova.
Ora provo come mi hai detto!
Grazie per l'help.


 192.168.1.254, ed broadcast 192.168.1.255.
Certo, e' solo che tu hai scritto...
    $TELENET_SERVERS ![
192.168.1.10/24,192.168.2.35/24,..
.]
e sia 
192.168.1.10/24
 sia 
192.168.2.35/24
 non sono indirizzi validi :-) 
Fabio

> e sia 
192.168.1.10/24
 sia 
192.168.2.35/24
 non sono indirizzi validi :-) 
OK ho capito, ce stata un pò di incomprensione fra di noi....
Tu mi vuoi dire che la rete 192.168.1.10 non può essere subnettata 
a 24 bit, corretto?
Scrivendo 
192.168.1.10/24
 volevo indicare l'host 192.168.1.10 della rete
192.168.1.0, perchè avevo già provato senza l'indicazione della rete e 
non fungeva ed allora pensavo fosse quella.
Cmq ho risolto, con la negazione nella variabile, probabilmente era
dovuta
a qualche errore nella dichiarazione che SNORT prendeva per buono.
GRAZIE MILLE, è stato un piacere fare due chiacchiere con te, anche
perchè
ho leggendo le tue risposte ho capito che sei uno in gamba.
Alfredo



Allora dovevi scrivere 
192.168.1.10/32
 :-D