firewall - 如何使用 Snort 检测 NMAP 默认 SYN 扫描？

Question

我看到了this 有同样的问题，它涉及到这个规则:

alert tcp any any -> any any (flags:S; msg:"NMAP TCP SYN"; sid: 1231213;)

但这是完全错误的，它会提醒您几乎任何简单的 HTTP 或 HTTPS 请求。

我将以这种方式重申这个问题:

有没有办法通过查看单个 IP 发送的一系列数据包来检测扫描，这些数据包设置了 SYN 标志，并且在 Snort 规则中发送到设备上的至少 10 个端口？

Answer 1

对我的问题的简短回答:是的。
最近我遇到了一个名为 的模块sfportscan 它有很多选项，例如用于保存数据包的内存和分析主题以及超时和连接数。
启用 sfportscan ， 你应该
1 - 添加到 snort.cont 通常在 /etc/snort/ :

preprocessor sfportscan: proto { all } \
        scan_type  { all } \
        sense_level { high } \
        logfile { alert }

它将查找所有协议(protocol)和所有类型的扫描，如 SYN、Null 等，并将它们记录在 的日志目录中。警报 我们在选项 中提到的文件(alert 是一个实际的文件名)日志文件 .括号前后的空格很重要，没有它们，snort 解析器会发出错误。
2 - 运行 snort -c "/etc/snort/snort.conf" -T确保所有配置都是 Okey。
3 - 运行 /etc/init.d/snort stop和 /etc/init.d/snort start稍等片刻，重新启动 Snort。
4 - 打开警报文件以查看警报:

tail -f [Address to log Directory]/alert

5 - 测试它是否使用 创建日志NMAP ，在另一台机器上打开另一个终端，然后:

sudo nmap [Your Firewall or NIDS IP Address]

6 - 你应该在 tail 文件中看到类似这样的内容:

Time: 02/23-12:54:21.183932 
event_ref: 0
[Source ip address] -> [Destination ip address] (portscan) TCP Portscan
Priority Count: 9
Connection Count: 10
IP Count: 1
Scanner IP Range: [Destination ip address]:[Destination ip address]
Port/Proto Count: 10
Port/Proto Range: 981:12174

我的笔记:
Snort 是一个很棒的 IDS，它用于许多免费甚至商业产品，但它的文档和示例以及 YouTube 介绍很差，如果它的社区更多地参与 那就太好了堆栈溢出 ， 问题。