Snort

secouant to staunch : contenir, endiguer to gush : jaillir stain : tâche lank : plat et terne to grab : saisir page 6 buttonhole : boutonnière spats : guêtres twitch : secousse waistcoat : gilet to tuck : mettre ebony : ébène to swallow : avaler to snort : grogner steamy : chaud et humide arse : cul flannel : gant de toilette forefinger : index 3 STEPHEN FRY – The Liar thumb : pouce slightest : la moindre to leak : fuir within : à l'intérieur de to mop up : éponger droplet : goutelette grease

appeared since the beginning of 1980s {Anderson80}, {Denning87}. Since then, a number of research and open source IDSes were created such as: STAT family (USTAT, NSTAT, NetSTAT) {Ilgun95}, {kemmerer98}, {Vigna99}, EMERALED {Porras97}, Bro {Paxson99}, and Snort {Roesch99}. Commercial IDSes started to emerge starting from 1990s, for example, Cisco secure IDS (previously known as NetRanger) {Earl01} and ISS RealSecure {Realsecure08}. Despite different implementations, all intrusion detection systems’ major

critical security issues, make recommendations to system administrators for fixing these security issues and to track when the vulnerabilities are mitigated. The Security Center also receives data from many leading intrusion detection systems such as Snort and ISS. The Security Center can also receive passive vulnerability information from Tenable’s Passive Vulnerability Scanner such that end users can discover new hosts, applications, vulnerabilities, and intrusions without the need for active scanning

sur le réseau. Il peut détecter en temps réel une attaque s’effectuant sur l’une des machines. Il contient une base de données avec tous les codes malicieux et peut détecter leurs envois sur une des machines. On peut citer par exemple un NIDS appelé Snort. 5. Solution Firewall La solution de filtrage consiste à déployer trois niveaux consiste à déployer trois niveaux de filtrage sur les ressources du réseau, comme écrit ci-dessous : 5.1 Firewall à filtrage de paquets La majorité des équipements de routage

pour accepter les requêtes MRTG 195 Installation et configuration de MRTG sur la machine d’analyse 196 NMAP 197 Audit réseau avec Nessus 197 Configuration de Nessus 198 Rapport d’audit 200 Détection d’intrusion : Snort 201 Mise en place de la sonde Snort 201 Configuration et validation de Snort, détection des scans 201 Le pot de miel 203 Tableau de bord de la sécurité 204 Les indicateurs de sécurité 204 Synthèses des indicateurs dans un tableau de bord 206 En résumé… 206 © Groupe Eyrolles, 2003

had raised such a fearful howling only moments before was now creeping toward him. In the eerie quiet he 56 Séquence 2-AN01 © Cned – Académie en ligne could hear the occasional clank of some *item of gear, the rustling of footsteps, the snort of a horse as it pawed and jostled impatiently. 25 He opened his eyes to see that the whole band had gathered at the village entrance, warriors and young men in front, women and children behind them. It was a dream of wild people, clothed in skins

signatures d’attaque. Les sondes IDS sont placées en général à des points stratégiques du réseau (serveurs Web, machines utilisées dans une zone non sûre, etc.) (figure 6). Exemple sortie de sonde IDS lors d’une attaque (sonde utilisée pour l’exemple : SNORT) : [**] [1:483:2] ICMP PING CyberKit 2.2 Windows [**] [Classification : Misc activity] [Priority: 3] 08/29-09:07:15.792114 xx.xx.xx.xx –> yy.yy.yy.yy ICMP TTL: 113 TOS: 0x1 ID:56403 IpLen: 20 DgmLen:92 Type:8 Code:0 ID:768 Seq:35267 ECHO [**]

that the mass of humanity that had raised such a fearful howling only moments before was now creeping toward him. In the eerie quiet he 74 Séquence 2-AN01 could hear the occasional clank of some *item of gear, the rustling of footsteps, the snort of a horse as it pawed and jostled impatiently. 25 He opened his eyes to see that the whole band had gathered at the village entrance, warriors and young men in front, women and children behind them. It was a dream of wild people, clothed in skins

$SQL_SERVERS 3306 (msg:"MYSQL show databases attempt"; flow:to_server,established; content:"|0f 00 00 00 03|show databases"; classtype:protocol-command-decode; sid:1776; rev:1;) 19/09/2011 - ENSICAEN - (c) dp 188 94 Exemple de résultat snort (avec ipcop) 19/09/2011 - ENSICAEN - (c) dp 189 Exemple d'attaquant 19/09/2011 - ENSICAEN - (c) dp 190 95 Intrusion Prevention System • Un IPS peut stopper un trafic jugé suspect. • Un logiciel peut se trouver

. . . . . . . . . . 30.11.6 Signature ICMP . . . . . . . . . . . . . . . . 30.12Conclusion . . . . . . . . . . . . . . . . . . . . . . . 30.13Travaux Pratiques . . . . . . . . . . . . . . . . . . . . 30.13.1 Snort . . . . . . . . . . . . . . . . . . . . . . 30.13.2 Note sur les logs de snort . . . . . . . . . . . 31 Les Pots à Miel (Honey Pots) [7] 31.1 But . . . . . . . . . . . . . . 31.2 HoneyPots . . . . . . . . . . 31.2.1 Définition . . . . . . 31.2.2 Danger . . . . . . . 31.3 Honey Net . . .