SNORT-RULES: Coba Menulis Rules untuk pemula - Revision history

Onnowpurbo: /* Referensi */

2019-10-10T13:12:38Z

Referensi

← Older revision		Revision as of 13:12, 10 October 2019
Line 153:		Line 153:

	* courses.umass.edu/cs415/labs/lab2/415-lab2-Snort.pdf		* courses.umass.edu/cs415/labs/lab2/415-lab2-Snort.pdf


			==Pranala Menarik==

			* [[SNORT]]

Onnowpurbo: /* Rule option */

2018-12-04T22:29:10Z

Rule option

← Older revision		Revision as of 22:29, 4 December 2018
Line 94:		Line 94:
	snort rule untuk menangkap semua ICMP echo message,		snort rule untuk menangkap semua ICMP echo message,

	alert icmp any any <> 192.168.0.232 any (itype: 8; msg: "Ada yang PING";)		alert icmp any any <> 192.168.0.232 any (msg:"Ada yang ECHO PING"; icode:0; itype:8; sid: 1000002; )
			alert icmp any any <> 192.168.0.232 any (msg:"Ada yang ECHO REPLY PING"; icode:0; itype:0; sid: 1000003; )

	perhatikan mengapa itype = 8?		perhatikan mengapa itype = 8? atau itype = 0?

	Catatan rule option:		Catatan rule option:

Onnowpurbo: /* Rule option */

2018-12-04T22:18:07Z

Rule option

← Older revision		Revision as of 22:18, 4 December 2018
Line 83:		Line 83:

	Rule option dapat menentukan task yang harus dilakukan jika address dan protocol cocok.		Rule option dapat menentukan task yang harus dilakukan jika address dan protocol cocok.
	Contoh, untuk menangkap semua ICMP Echo message~~, untuk~~ percobaan ini kita perlu mematikan icmp rules yang ada di snort.conf		Contoh, untuk menangkap semua ICMP Echo message. Untuk percobaan ini kita perlu mematikan icmp rules yang ada di snort.conf

	vi /etc/snort/snort.conf		vi /etc/snort/snort.conf

Onnowpurbo: /* Rule option */

2018-12-04T22:17:29Z

Rule option

← Older revision		Revision as of 22:17, 4 December 2018
Line 83:		Line 83:

	Rule option dapat menentukan task yang harus dilakukan jika address dan protocol cocok.		Rule option dapat menentukan task yang harus dilakukan jika address dan protocol cocok.
	Contoh, ~~snort rule~~ untuk menangkap semua ICMP ~~echo~~ message,		Contoh, untuk menangkap semua ICMP Echo message, untuk percobaan ini kita perlu mematikan icmp rules yang ada di snort.conf

	alert ~~tcp~~ any any -> 192.168.10.2 any (itype: 8; msg: "~~ping detected~~";)		vi /etc/snort/snort.conf

			Matikan

			# include $RULE_PATH/icmp-info.rules
			# include $RULE_PATH/icmp.rules

			snort rule untuk menangkap semua ICMP echo message,

			alert icmp any any <> 192.168.0.232 any (itype: 8; msg: "Ada yang PING";)

	perhatikan mengapa itype = 8?		perhatikan mengapa itype = 8?

Onnowpurbo: /* Phatbot Analysis */

2017-06-16T10:00:16Z

Phatbot Analysis

@@ Line 125: / Line 125: @@
   (msg:"SHELLCODE sparc NOOP"; content:"|a61c c013 a61c c013 a61c c013 a61c
   c013|"; reference:arachnids,355; classtype:shellcode-detect; sid:646; rev:4;)
 ==Phatbot Analysis==

Onnowpurbo: /* Beberapa perintah bermanfaat */

2017-05-11T07:55:33Z

Beberapa perintah bermanfaat

← Older revision		Revision as of 07:55, 11 May 2017
Line 37:		Line 37:
	di bagian atas rules file jika kita memperoleh checksum problem.		di bagian atas rules file jika kita memperoleh checksum problem.

			Logging ASCII agar local.rules bisa di baca dengan mudah


			snort -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii -D

	==Rule Sederhana==		==Rule Sederhana==

Onnowpurbo at 00:39, 2 April 2017

2017-04-02T00:39:11Z

← Older revision		Revision as of 00:39, 2 April 2017
Line 1:		Line 1:
	Sumber: courses.umass.edu/cs415/labs/lab2/415-lab2-Snort.pdf		Sumber: courses.umass.edu/cs415/labs/lab2/415-lab2-Snort.pdf

			Sebuah pendeteksi penyusup / Intrusion Detection System (IDS) logika bekerjanya seperti anti-virus, engine pendeteksi hanya akan bekerja dengan benar kalau database-nya benar. Kalau serangan tersebut tidak ada dalam database maka serangan tersebut tidak akan terdeteksi. Sial-nya database tersebut adalah buatan manusia, yang harus telaten mendokumentasinya bentuk paket / isi paket serangan, kemudian menuangkannya ke dalam sebuah aturan / rules.

	Snort mirip dengan tcpdump, tetapi memiliki output yang lebih bersih dan bahasa aturan yang lebih fleksibel. Sama seperti tcpdump, snort akan mendengarkan antarmuka tertentu, atau membaca jejak paket dari sebuah file. Umumnya administrator keamanan diminta untuk melihat jejak paket untuk ~~menganalisis~~ serangan yang terjadi. Disini kita akan belajar bagaimana menggunakan snort untuk membaca jejak dan belajar bagaimana menulis aturan / rules baru.		Snort Intrusion Detection System (IDS) mempunyai kemampuan yang baik untuk membaca paket yang lewat di jaringan. Snort IDS mirip dengan tcpdump / wireshark, tetapi memiliki output yang lebih bersih dan bahasa aturan yang lebih fleksibel. Sama seperti tcpdump / wireshark, snort akan mendengarkan antarmuka tertentu, atau membaca jejak paket dari sebuah file. Umumnya administrator keamanan diminta untuk melihat jejak paket untuk menganalisa serangan yang terjadi. Salah satu yang nampaknya akan amat sangat bermanfaat adalah kemampuan untuk menulis snort rules untuk mendeteksi serangan. Disini kita akan belajar bagaimana menggunakan snort untuk membaca jejak dan belajar bagaimana menulis aturan / rules baru.

			Tujuan utama snort sebagai IDS adalah untuk bereaksi jika ada rules yang cocok dengan paket yang masuk. Reaksi yang di berikan Snort IDS bisa bermacam-macam tergantung kebutuhan / kemauan yang memprogram, bisa di catat / "log", bisa memberikan "alert" bagi administrator keamanan jaringan.


Line 38:		Line 40:
	==Rule Sederhana==		==Rule Sederhana==

	~~Tujuan utama~~ snort ~~adalah untuk memberikan alert administrator jika ada~~ rules yang ~~cocok~~ dengan paket yang ~~masuk~~.		JIka kita instalasi snort dengan baik maka, semua aturan snort biasanya di simpan di folder /etc/snort/rules. Aturan tersebut berupa file-file dengan nama yang sesuai dengan kategori serangan, misalnya, virus.rules adalah file berisi aturan snort yang akan mendeteksi paket yang kemungkinan membawa virus.

			Bagi kita yang akan berexperimen dengan aturan snort, sebaiknya mengedit file /etc/snort/rules/local.rules. Beri keterangan dengan tanda '#' di depan-nya. Keterangan tersebut perlu dibuat untuk mengingatkan kita tentang percobaan / aturan apa yang kita buat.

	Secara umum, semua rules mengikuti aturan:		Secara umum, semua rules mengikuti aturan:
Line 57:		Line 60:


			Disini kita akan belajar untuk membuat rules pendeteksi traffic telnet. Mengapa telnet perlu di deteksi? karena memang telnet sangat rentan untuk di sadap.

	~~Setiap rules biasanya satu kalimat mengikuti format~~ yang ~~sama~~, ~~seperti contoh~~ berikut,		Semua aplikasi pada jaringan TCP/IP akan bekerja menggunakan nomor port tertentu. Telnet menggunakan nomor port 23. Aplikasi lain akan menggunakan nomor port yang lain, misalnya, web 80, https 443, smtp 25, pop3 110, imap 143. Daftar sebagian besar nomor port yang digunakan oleh aplikasi Internet bisa di lihat di file /etc/services.

			Setelah mengetahui nomor port telnet 23, maka kita dapat membuat aturan snort sederhana untuk mendeteksi telnet, sebagai berikut,

	alert tcp any any -> 192.168.0.100 23 (msg: "Ada yang telnet ke mesin!"; sid:1000001;)		alert tcp any any -> 192.168.0.100 23 (msg: "Ada yang telnet ke mesin!"; sid:1000001;)

Onnowpurbo: /* Rule Sederhana */

2017-04-01T22:51:36Z

Rule Sederhana

← Older revision		Revision as of 22:51, 1 April 2017
Line 60:		Line 60:
	Setiap rules biasanya satu kalimat mengikuti format yang sama, seperti contoh berikut,		Setiap rules biasanya satu kalimat mengikuti format yang sama, seperti contoh berikut,

	alert tcp any any -> 192.168.0.100 23 (msg: "Ada yang telnet ke mesin!"; sid:1000001)		alert tcp any any -> 192.168.0.100 23 (msg: "Ada yang telnet ke mesin!"; sid:1000001;)

	arti dari rule di atas adalah,		arti dari rule di atas adalah,

Onnowpurbo: /* Rule Sederhana */

2017-04-01T22:22:45Z

Rule Sederhana

@@ Line 39: / Line 39: @@
 Tujuan utama snort adalah untuk memberikan alert administrator jika ada rules yang cocok dengan paket yang masuk.
 Secara umum, semua rules mengikuti aturan:
@@ Line 65: / Line 55: @@
 * Operator arah "->" atau "<-" atau "<>" untuk traffic bi-directional antara dua address.
 ==Rule option==

Onnowpurbo at 13:06, 31 March 2017

2017-03-31T13:06:53Z

← Older revision		Revision as of 13:06, 31 March 2017
Line 33:		Line 33:
	config checksum_mode : none		config checksum_mode : none

	~~==Rule Sederhana==~~		di bagian atas rules file jika kita memperoleh checksum problem.


	~~di bagian atas rules file jika kita memperoleh checksum problem.~~		==Rule Sederhana==

	Tujuan utama snort adalah untuk memberikan alert administrator jika ada rules yang cocok dengan paket yang masuk.		Tujuan utama snort adalah untuk memberikan alert administrator jika ada rules yang cocok dengan paket yang masuk.
Line 55:		Line 55:
	action protocol address port direction address port (rule option)		action protocol address port direction address port (rule option)

	~~Pada contoh~~,		Penjelasan format,

	* Pilihan action adalah "log" atau "alert". "alert" akan menuliskan semua alert ke sebuah file "alert" yang sama. Sementara log akan menyimpan traffic untuk masing-masing IP address yang bermasalah pada sebuah folder untuk di analisa lebih lanjut.		* Pilihan action adalah "log" atau "alert". "alert" akan menuliskan semua alert ke sebuah file "alert" yang sama. Sementara log akan menyimpan traffic untuk masing-masing IP address yang bermasalah pada sebuah folder untuk di analisa lebih lanjut.