Newsgroup: it.comp.sicurezza.unix
Titolo: snort

snort -installato e funzionante- non mi rileva i port scan!
mentre rileva altri attacchi. 
uso slackware. accetto consigli
grazie

 wrote in news:pan.2003.06.29.16.17.38.161632
@
email.it
:

impara a fare le richieste.
non hai detto niente.
come ti si aiuta?
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------
** Articolo inviato tramite i servizi gratuiti di 
www.x-privat.org
 **

 come ti si aiuta?
	scs, la fretta.
	snort 2.0
	pentium 1 con 2 sk rete + slackware 9
			192.168.0.1 ---> hub
			192.168.0.1 ---> adsl
	192.168.0.3 = client con slack 9
	192.178.0.5 = client con R H 8
	occasionalmente un portatile attaccato
	all'hub
	il tutto funziona bene . Installato snort
	sul pc con 2 sk (il gateway) provo subito
	il funzionamento con nessus, mi auto-attacco
	e resto felice quando vedo che snort + acid
	logga il tutto.
	ma se faccio partire un port scan qualunque
	-sia dall'interno della rete che dall'esterno-
	eccho che snort se ne frega e non mi logga nulla.
	ovviamente ho provato diversi snort.conf. in rete
	ho trovato un ottimo esempio di raptor. il tutto
	funziona come prima, cioe' logga gli attacchi ma non
	i port scan.
	se hai idee le accetto volentieri
	grazie per la risposta.	
	saluti



dipende tutto da come hai configurato il tuo snort,
perche' non provi a crearti delle rules tipo:
alert tcp any any -> $HOME_NET 1:24 (msg:"TCP Port Scan";)
alert tcp any any -> $HOME_NET 26:79 (msg:"TCP Port Scan";)
alert tcp any any -> $HOME_NET 81:1023 (msg:"TCP Port Scan";)
alert udp any any -> $UNUSED any (msg:"UDP Port Scan";)

 mentre rileva altri attacchi. 
Posta le righe di snort.conf relative ai preprocessori portscan
o portscan2 e le altre righe relative all'assegnazione delle 
variabili che usi nelle direttive dei preprocessori.
Fabio

 Fabio
---------------------------------------------
ecco, spero di  avere messo tutto!! grazie per la risposta. saluti
----------------------------------------------
var HOME_NET [
192.168.0.0/24
]
var EXTERNAL_NET !$HOME_NET
preprocessor stream4: detect_scans, disable_evasion_alerts
preprocessor telnet_decode
preprocessor portscan: $HOME_NET 4 3 portscan.log
#preprocessor portscan-ignorehosts: 0.0.0.0
#preprocessor portscan-ignorehosts: $HOME_NET
 preprocessor portscan2: scanners_max 256, targets_max 1024, target_limit 5, port_limit 20, timeout 60
# preprocessor portscan2-ignorehosts: 
10.0.0.0/8
 
192.168.24.0/24

 preprocessor portscan2-ignorehosts: 
10.0.0.0/8
 
192.168.24.0/24
        Hai riportato correttamente questa?------^^^^^^^^^^^^^^^
Le regole sono ok. Bisogna veder bene da dove e verso dove
provi gli scan (nel post con i dettagli sulla rete ci deve
essere qualche errore nell'indicazione degli indirizzi del
gateway). In linea di massima uno scan da uno dei due host
(RH8 o slack 9) diretto verso l'interfaccia interna del gw
deve essere rilevabile da entrambi i preprocessori. Fai la
prova e vediamo come va.
Con che cosa hai provato a fare i portscan? Prova con nmap
con i default (nmap <ip>), cosi' "normalizziamo" le prove.
Qualche verifichina da fare:
- snort deve essere in ascolto sull'interfaccia di rete su
  cui dirigi il portscan (in questo caso);
- preprocessore portscan2 correttamente inizializzato: nei
  log devi trovare le righe all'avvio di snort;
- stai usando gli snort.conf giusti? Verifica negli script
  di avvio che non stia puntando a un .conf diverso;
Fabio

 Fabio
	ti ringrazio per la risposta, le prove posso farle 
	tra sabato e domenica. Se non e' troppo disturbo X te
	ti riaggiorno coi seguiti. sempre su 	questo post
	ancora grazie
	saluti