Snort

L’idea di Snort nasce dal programma Ip-grab di Mike Borella, ma l’autore e realizzatore è Martin Roesch (pronunciato come "fresh", ma senza la "f”). La prima release è datata 21/12/1998, ma la svolta avvenne l’8/12/99 quando nella versione 1.5 fu aggiunta l’architettura modulare. La storia delle versioni di Snort, con le modifiche ed i miglioramenti eseguiti dalla sua ideazione ad oggi, sono riportati nel ChangeLog file reperibile sul sito www.snort.org/ChangeLog.html. Le Versioni di Snort che sono state sviluppate sono le seguenti

Snort è un software Open Source, con esso sono forniti i sorgenti, ed è possibile distribuirlo e/o modificarlo secondo lo standard GNU GPL. Parte di questo codice è stato preso da tcpdump sviluppato dal Network Research Group nei laboratori della Lawrence Berkeley National ed è copyrighted dall'Università della California Regents (USA). E’ un “semplice” sistema per il rilevamento di intrusioni in rete (NIDS) basato sulla libreria libpcap (http://www-nrg.ee.lbl.gov/). Il termine “semplice” non deve essere frainteso. Si tratta di un software molto efficace, con capacità di eseguire in tempo reale l’analisi del traffico e un packet logging (utile per debuggare il traffico della rete) su IP networks. Esso può compiere analisi dei protocolli, può individuare una varietà di attacchi e probes, così come buffer overflow, port scanning, attacchi CGI e probes SMB. Guardando i file di log si riesce a determinare a quale tipo di attacco si è stati soggetti. Un uso efficace di meccanismi di logging è fondamentale per la sicurezza del sistema. E' possibile usare programmi di filtro dedicati, che periodicamente effettuano uno scanning sui principali file di log di sistema, verificando eventuali “anomalie” come parecchie connessioni dallo stesso indirizzo IP in un brevissimo intervallo di tempo. Si possono anche scrivere programmi di logging dedicati per difendersi, quando possibile, da attacchi tipo SYN flooding.Usa un semplice linguaggio di descrizione di regole flessibili e potenti che consente di descrivere che tipo di traffico dovrebbe essere catturato o ignorato e di individuare traffico ostile o semplicemente sospetto sulla rete. Snort può lavorare in diversi modi:

· Packet Sniffer: è capace di ispezionare il carico dei pacchetti sulla rete, decodificando il livello di applicazione di un pacchetto e catalogando il traffico basato su un certo contenuto di dati. Può anche filtrare il traffico attraverso BPF (comandi Berkley Packet Filter), i quali lo rendono flessibile nel catalogare specifici tipi di dati basati sul suo insieme di regole.

· Packet Logger: può anche effettuare il log dei pacchetti su linea di comando indirizzati ad una specifica locazione, in un syslog, ed invia alert a video. Uno dei migliori vantaggi è che esso effettua il log in formato leggibile decodificato in una directory basata su IP sorgenti. Esegue anche il log di pacchetti in formato binario su un singolo file.

· Intrusion Detection: può essere usato come IDS su reti dove sono richieste alte prestazioni. Precisamente può essere posizionato tra il firewall, che controlla una sottorete, e la linea esterna non sicura, analizzando in questo modo sia il traffico diretto al firewall, che il traffico nella sottorete controllata. Ha un piccolo sistema di firme ed è disegnato per essere un tool veloce di alerting per gli amministratori quando sono individuate attività sospette.

I sistemi operativi su cui si può installare Snort sono: Linux, OpenBSD, FreeBSD, NetBSD, Solaris, SunOS 4.1.X, HP-UX, AIX, IRIX, Tru64 (tutti sistemi Unix like), MacOS (su sistemi Macintosh), Win32 (Win9x/NT/2000).

Dopo aver installato Snort, si possono scaricare ed installare dei file di regole aggiornati periodicamente, dall’indirizzo http://www.snort.org/snort-files.htm#Rules. Questi file contengono tutte le regole per una serie di attacchi già noti, ma nulla vieta di scriversi un proprio file di regole.

LE REGOLE

Ci sono una serie di linee guida da seguire nella scrittura di nuove regole. Esse devono essere scritte su di un'unica riga, infatti, il parser di Snort non riconosce regole scritte su più linee. Bisogna suddividere le regole in due sezioni logiche:

· header: contiene le azioni delle regole, protocollo, indirizzo IP di origine e destinazione, e le informazioni sulle porte. Di conseguenza esso contiene le informazioni che definiscono “chi, dove e cosa fare” dei pacchetti.

· options: contiene messaggi di alert, informazioni su quali parti dei pacchetti devono essere analizzate per determinare se le regole di azione devono essere eseguite. Tale sezione non è specificatamente richiesta da tutte le regole.

Una regola di Snort è composta nel seguente modo:

func indica l’azione della regola e può assumere i seguenti valori:

· alert – genera un alert usando il metodo di alert selezionato, e poi fa il log del pacchetto

· log – fa il log del pacchetto

· pass – ignora il pacchetto

· activate – genera un alert e poi viene attivata un’azione dynamic

· dynamic – rimane inattiva finché non è attivata da un’azione activate, poi agisce come un log

protocollo: indica il protocollo usato dal pacchetto che può essere TCP, UDP o ICMP;

sorg_ip/mask, dest_ip/mask: indicano rispettivamente indirizzo IP sorgente e destinazione del pacchetto insieme al blocco CIDR che indica la netmask utilizzata. In particolare il blocco CIDR /24 indica una Class C network, /16 una Classe B network e /32 indica uno specifico indirizzo macchina. Per esempio la combinazione sorg_ip/mask 192.168.1.0/24 si riferisce al blocco di indirizzi da 192.168.1.1 a 192.168.1.255.

sorg_port, dest_port: indicano rispettivamente il numero decimale della porta sorgente e destinazione. Può essere indicato anche un intervallo usando l’operatore “:”;

Per quanto riguarda gli indirizzi IP e le porte si può usare la parola “any”, che indica che viene accettato qualsiasi valore.

->: indica la direzione del traffico (dalla sorgente alla destinazione) che può essere anche inversa (<-) o bidirezionale (<>);

Ogni opzione contiene una delle seguenti parole chiavi:

- content: cerca un determinato pattern nel payload del pacchetto. Esso può contenere un misto di testo e dati binari. Questi ultimi sono generalmente racchiusi tra caratteri di pipe (“|”) e rappresentati in esadecimale;

- msg: stampa un messaggio di alert a video o nel file di log. E’ semplicemente una stringa di testo che usa lo “\” come carattere di escape per indicare un carattere discreto che potrebbe altrimenti confondere il parser di regole di snort;

- logto: crea il log del pacchetto in un file specificato dall’utente invece che sullo standard output;

- ttl: testa il valore del campo TTL nell’header IP;

- tos: testa il valore del campo TOS nell’header IP;

- id: testa il campo fragment ID nell’header IP per uno specifico valore, alcuni tools di hacking settano questo campo per scopi specifici diversi;

- ipoption: testa il valore dei campi IP option per cercare un codice specifico;

- dsize: confronta la taglia del carico (payload) di un pacchetto con un determinato valore per prevenire problemi di buffer overflows;

gli operatore > e < sono opzionali.

- flags: testa i flag TCP per alcuni valori;

- seq: testa il valore del campo sequence number TCP con un determinato valore;

- ack: testa il valore del campo acknowledgment TCP con un determinato valore. È usato per individuare NMAP TCP ping. Un NMAP TCP ping setta questo campo a zero e manda un pacchetto con il TCP ACK flag settato per determinare se un host sulla rete è attivo;

- itype: testa il valore del campo type ICMP con un determinato valore;

- icode: testa il valore del campo code ICMP con un determinato valore e quelli fuori di un certo range sono identificati come traffico sospetto;

- icmp_id: testa il valore del campo ID ICMP ECHO con un determinato valore;

- icmp_seq: testa il valore del campo sequence number ICMP ECHO con un determinato valore;

- content-list: cerca un insieme di pattern nel payload del pacchetto;

- offset: modificatore per l’opzione content, setta l’offset da cui iniziare un pattern match. È molto usato per regole di CGI scan detection dove la stringa di ricerca non è mai trovata nei primi quattro byte del payload;

- depth: modificatore per l’opzione content, setta la massima profondità cui effettuare un tentativo di pattern matching;

- nocase: fa il match della stringa specificata dall’opzione content senza far differenza tra lettere maiuscole e minuscole;

- session: scarta tutte le informazioni aggiunte dal livello applicazione per una data sessione.

La parola chiave printable scarta solo i dati che l’utente dovrebbe normalmente vedere o essere capace di rappresentare. La parola chiave all sostituisce i caratteri non stampabili con i loro equivalenti esadecimali;

- rpc: controlla i servizi RPC e automaticamente decodifica l’applicazione, procedura e versione, indicando successo quando tutte e tre le variabili corrispondono;

- resp: causa una risposta attiva;

Le opzioni possono essere combinate in qualsiasi modo per rilevare e classificare pacchetti di interesse e sono processate usando un AND logico; quindi tutte le opzioni elencate nella regola devono essere rispettate affinché sia generato l’alert.

Esempi di Regole: