SNORT: Reputation Preprocessor - Revision history

Unknown user: /* Pulledpork Install */

2023-07-10T00:07:39Z

Pulledpork Install

← Older revision		Revision as of 00:07, 10 July 2023
Line 214:		Line 214:
	==Pulledpork Install==		==Pulledpork Install==

	Bagi anda yang berlangganan oinkcode bisa akses Pulledpork untuk memperoleh IP address yang di black list		'''WARNING:''' PulledPork tidak di rekomendasikan bagi mereka yang tidak berlangganan oinkcode. Bagi anda yang berlangganan oinkcode bisa akses Pulledpork untuk memperoleh IP address yang di black list

	Instal aplikasi pendukung		Instal aplikasi pendukung

Unknown user: /* Setting local.rules untuk Alert saat ada event Blacklist */

2023-07-09T08:22:15Z

Setting local.rules untuk Alert saat ada event Blacklist

← Older revision		Revision as of 08:22, 9 July 2023
Line 116:		Line 116:

	Edit local.rules, masukan rule berikut,		Edit local.rules, masukan rule berikut,


	alert ( msg: "REPUTATION_EVENT_BLACKLIST"; sid: 1; gid: 136; rev: 1; metadata: rule-type preproc ; classtype:bad-unknown; )		alert ( msg: "REPUTATION_EVENT_BLACKLIST"; sid: 1; gid: 136; rev: 1; metadata: rule-type preproc ; classtype:bad-unknown; )
Line 203:		Line 202:

	jika keduanya benar, mulailah melihat alamat IP Anda untuk memverifikasi bahwa semuanya benar. Jika Anda menggunakan alamat IP pribadi (seperti 10.x.x.x), ingatlah bahwa Anda harus mengaktifkan scan_local di reputation preprocessor.		jika keduanya benar, mulailah melihat alamat IP Anda untuk memverifikasi bahwa semuanya benar. Jika Anda menggunakan alamat IP pribadi (seperti 10.x.x.x), ingatlah bahwa Anda harus mengaktifkan scan_local di reputation preprocessor.


	==Understanding nested_ip==		==Understanding nested_ip==

Unknown user: /* Setting up local.rules to Generate Alerts for Blacklist Events */

2023-07-09T08:22:05Z

Setting up local.rules to Generate Alerts for Blacklist Events

Show changes

Unknown user: /* Configuring IP List Actions and Precedence */

2023-07-09T00:38:18Z

Configuring IP List Actions and Precedence

← Older revision		Revision as of 00:38, 9 July 2023
Line 95:		Line 95:
	Opsi ini memungkinkan Anda menguji Reputation Preprocessor dengan alamat private (peringatan lalu lintas dari subnet 10.0.0.0/24 misalnya). Tanpa opsi ini, semua alamat IP dalam daftar IP Anda dari alamat private tidak akan dibandingkan dengan list IP.		Opsi ini memungkinkan Anda menguji Reputation Preprocessor dengan alamat private (peringatan lalu lintas dari subnet 10.0.0.0/24 misalnya). Tanpa opsi ini, semua alamat IP dalam daftar IP Anda dari alamat private tidak akan dibandingkan dengan list IP.

	==~~Configuring~~ IP List ~~Actions and Precedence~~==		==Konfigurasi IP List Tindakan dan Prioritas==

	~~The two~~ reputation preprocessor ~~configuration options that determine how~~ IP ~~lists affect the processing of packets are~~ priority ~~and~~ white.		Dua opsi konfigurasi reputation preprocessor yang menentukan effek IP list pada pemrosesan paket adalah priority dan white.

			* priority: Ketika sebuah paket memiliki satu IP pada black list dan IP lainnya pada white list (alamat IP pengirim dan alamat IP penerima), opsi ini menentukan mana yang lebih penting. Jika ini di set ke black list, maka paket akan menghasilkan Alert. Jika ini di set ke white list, maka proses akan diizinkan untuk lewat. Contoh pengaturan ini (dipotong untuk kesederhanaan):

	priority: When a packet has one IP on a blacklist and the other IP on a whitelist (sender IP address and receiver IP address), this option determines which is more important. If this is set to blacklist, then the packet will generate an alert. If this is set to whitelist, then the process will be allowed to pass. An example of this setting (truncated for simplicity):

	preprocessor reputation: \		preprocessor reputation: \
	priority whitelist, \		priority whitelist, \
	...		...

	white: ~~this option can be set to either~~ unblack or trust. ~~When set to~~ unblack, ~~if the packet also has an address that is in the~~ IP ~~blacklist~~ (~~say the source~~ IP ~~address is in the whitelist and the destination~~ ip ~~address of that same packet is in the blacklist~~), ~~then the packet will continue to process through the other preprocessors as if it was not on the blacklist~~. ~~Note that for the packet to continue to be processed~~, ~~the priority must be set to whitelist~~. ~~When~~ white is set to trust, ~~then the packet is implicitly trusted and bypasses all further processing~~. ~~An example of this~~:		* white: opsi ini dapat diatur ke unblack atau trust. Ketika diatur ke unblack, jika paket juga memiliki alamat yang ada di black list IP (misalkan alamat IP sumber ada di white list dan alamat ip tujuan dari paket yang sama ada di black list), maka paket akan terus diproses melalui preprosesor lain seolah-olah tidak ada dalam black list. Perhatikan bahwa agar paket dapat terus diproses, prioritas harus ditetapkan ke black list. Ketika white di set ke trust, maka paket dipercaya secara implisit dan melewati semua pemrosesan lebih lanjut. Contohnya:

	preprocessor reputation: \		preprocessor reputation: \

Unknown user: /* Pulledpork Install */

2023-07-09T00:31:50Z

Pulledpork Install

← Older revision		Revision as of 00:31, 9 July 2023
Line 208:		Line 208:

	==Pulledpork Install==		==Pulledpork Install==

			Bagi anda yang berlangganan oinkcode bisa akses Pulledpork untuk memperoleh IP address yang di black list

	Instal aplikasi pendukung		Instal aplikasi pendukung
Line 234:		Line 236:

	sudo vi /etc/snort/pulledpork.conf		sudo vi /etc/snort/pulledpork.conf


	==PulledPork dan Blacklist==		==PulledPork dan Blacklist==

Unknown user: /* PulledPork dan Blacklist */

2023-07-09T00:28:47Z

PulledPork dan Blacklist

@@ Line 238: / Line 238: @@
 ==PulledPork dan Blacklist==
-PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.
+Ubah path directory rules,
-  rule_path=/usr/local/etc/snort/rules/snort.rules
+  # but still keeping a separate file for your so_rules!
-Menjadi
+ # rule_path=/usr/local/etc/snort/rules/snort.rules
   rule_path=/etc/snort/rules/snort.rules
-Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
+Selanjutnya, memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
   # pulledpork.conf - Line 24

Unknown user: /* PulledPork dan Blacklist */

2023-07-09T00:21:00Z

PulledPork dan Blacklist

← Older revision		Revision as of 00:21, 9 July 2023
Line 242:		Line 242:

	PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.		PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.

			Pertama ubah path directory rules, dari,

			rule_path=/usr/local/etc/snort/rules/snort.rules
			Menjadi
			rule_path=/etc/snort/rules/snort.rules


	Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:		Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:

Unknown user: /* PulledPork dan Blacklist */

2023-07-09T00:16:10Z

PulledPork dan Blacklist

← Older revision		Revision as of 00:16, 9 July 2023
Line 243:		Line 243:
	PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.		PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.

	Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list ~~Talos~~, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:		Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:

	# pulledpork.conf - Line 24		# pulledpork.conf - Line 24
	rule_url=http://talosintel.com/feeds/ip-filter.blf\|IPBLACKLIST\|open		# rule_url=http://talosintel.com/feeds/ip-filter.blf\|IPBLACKLIST\|open
			rule_url=https://snort.org/downloads/ip-block-list\|IPBLOCKLIST\|open


	Baris 141 di PulledPork.conf menunjuk ke file lokal tempat Anda akan menyimpan black list yang Anda unduh. Ini akan menjadi file yang sama yang Anda konfigurasikan di reputation preprocessor dengan arahan: BLACK_LIST_PATH di snort.conf. Di sinilah PulledPork akan menulis black list ke:		Baris 141 di PulledPork.conf menunjuk ke file lokal tempat Anda akan menyimpan black list yang Anda unduh. Ini akan menjadi file yang sama yang Anda konfigurasikan di reputation preprocessor dengan arahan: BLACK_LIST_PATH di snort.conf. Di sinilah PulledPork akan menulis black list ke:

	# pulledpork.conf - Line 141		# pulledpork.conf - Line 141
			block_list=/usr/local/etc/snort/rules/iplists/default.blocklist

			ubah menjadi
	black_list=/etc/snort/rules/iplists/black_list.rules		black_list=/etc/snort/rules/iplists/black_list.rules

Line 256:		Line 261:

	# pulledpork.conf - Line 150		# pulledpork.conf - Line 150
			IPRVersion=/usr/local/etc/snort/rules/iplists

			ubah menjadi
	IPRVersion=/etc/snort/rules/iplists		IPRVersion=/etc/snort/rules/iplists

Unknown user: /* PulledPork dan Blacklist */

2023-07-09T00:07:57Z

PulledPork dan Blacklist

@@ Line 206: / Line 206: @@
      nested_ip inner, \
      ...
 ==PulledPork dan Blacklist==
 PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.

Unknown user: /* Allowing Local IP Addresses */

2023-07-08T23:58:48Z

Allowing Local IP Addresses

← Older revision		Revision as of 23:58, 8 July 2023
Line 73:		Line 73:
	224.0.0.0/4 # tambahkan seluruh subnet multicast ke daftar ini		224.0.0.0/4 # tambahkan seluruh subnet multicast ke daftar ini

	==~~Allowing~~ Local IP ~~Addresses~~==		==Mengijinkan Local IP Address==

			Jika Anda ingin Reputation Preprocessor mengenali (bukan mengabaikan) alamat jaringan pribadi (yang ada di jaringan rumah atau internal Anda) yang semuanya termasuk dalam rentang lokal:

	~~If you want the reputation preprocessor to recognize (not ignore) private network addresses (the ones on your home or internal network) which all fall in the local ranges:~~

	10.0.0.0 – 10.255.255.255 (10.0.0.0/8)		10.0.0.0 – 10.255.255.255 (10.0.0.0/8)
Line 81:		Line 82:
	192.168.0.0 – 192.168.255.255 (192.168.0.0/16)		192.168.0.0 – 192.168.255.255 (192.168.0.0/16)

	~~then add the~~ scan_local ~~option to the~~ reputation preprocessor, ~~as show below in line 6:~~		tambahkan opsi scan_local dalam konfigurasi reputation preprocessor, seperti tampak di bawah ini,

	# Reputation preprocessor. For more information see README.reputation		# Reputation preprocessor. For more information see README.reputation
Line 92:		Line 93:
	blacklist $BLACK_LIST_PATH/black_list.rules		blacklist $BLACK_LIST_PATH/black_list.rules

	~~This option allows you to test the reputation preprocessor with~~ private ~~addresses~~ (~~alert on traffic from the~~ 10.0.0.0/24 ~~subnet for example~~). ~~Without this option~~, ~~all~~ IP ~~addresses in your~~ IP ~~lists from a~~ private ~~address will be not be compared against the~~ IP ~~lists~~.		Opsi ini memungkinkan Anda menguji Reputation Preprocessor dengan alamat private (peringatan lalu lintas dari subnet 10.0.0.0/24 misalnya). Tanpa opsi ini, semua alamat IP dalam daftar IP Anda dari alamat private tidak akan dibandingkan dengan list IP.

	==Configuring IP List Actions and Precedence==		==Configuring IP List Actions and Precedence==