oinkmaster - En ligne dans le Cloud

PROGRAMME:

Nom

maître d'encre - mettre à jour les signatures Snort

SYNOPSIS

maître d'encre -o extérieur [choix]

DESCRIPTION

Oinkmaster est un outil simple qui vous aide à maintenir vos règles Snort à jour avec peu ou pas
interaction de l'utilisateur. Il télécharge une archive contenant les nouvelles règles et peut ensuite activer,
désactiver ou même apporter des modifications arbitraires aux règles spécifiées avant de mettre à jour votre
fichiers de règles. Il vous indiquera également les changements exacts par rapport à vos règles précédentes.

OPTIONS

Le seul argument requis pour Oinkmaster est -o extérieur où extérieur est le répertoire à mettre
les nouveaux fichiers de règles. Cela devrait être l'endroit où vous conservez vos règles localement. Le téléchargé
les fichiers seront comparés à ceux ici avant de les écraser éventuellement.

Arguments facultatifs :

-b dir Si les règles ont été modifiées, une archive de vos anciennes règles sera mise en dir
avant de les écraser avec les nouveaux fichiers. Aucune sauvegarde n'est effectuée si aucun fichier n'a
changé ou si Oinkmaster fonctionne en mode prudent.

-c Exécutez en mode prudent. Cela signifie qu'Oinkmaster ne vérifiera que les mises à jour et
imprimez-les, mais ne mettez rien à jour.

-C cfg Utilisez ce fichier de configuration au lieu de la valeur par défaut. Si non spécifié,
oinkmaster.conf sera recherché dans / Etc / et alors /usr/local/etc/. Vous pouvez
spécifier plusieurs -C cfg pour charger plusieurs fichiers de configuration. ils seront chargés
par ordre d'apparition sur la ligne de commande. Si une option est redéfinie, elle remplace
la valeur précédente (sauf pour l'option "url", car vous êtes autorisé à spécifier
plusieurs URL).

-e Activez les règles qui sont désactivées par défaut dans l'archive de règles téléchargée en
en supprimant tous les premiers "#" d'eux. S'il y a des règles désactivées dans le
archive, ils le resteront à moins que vous n'utilisiez cette option. N'oubliez pas qu'ils
sont désactivés pour une raison (ils peuvent même ne pas fonctionner), utilisez donc cette option avec précaution.

-h Afficher les arguments de ligne de commande valides avec de courtes descriptions

-i Activer le mode interactif. Il vous sera demandé d'approuver les modifications (le cas échéant) avant
mettre à jour quoi que ce soit.

-m Minimiser/simplifier la différence lors de l'impression du résultat des règles modifiées en supprimant
les parties communes de début et de fin de l'ancienne et de la nouvelle règle, il est donc plus facile de voir les
changement réel. Quelques caractères à gauche et à droite du changement sont également
imprimé afin que vous ayez un peu de contexte. Le mot clé rev est ignoré lorsque la comparaison
et le retrait des parties communes est effectué car cela ferait souvent toute l'idée
échouer. (Si vous pensez qu'il est important de pouvoir vérifier que le numéro de révision a
augmenté lorsqu'une règle a été mise à jour, n'utilisez pas le mode diff réduit.)

Normalement, lorsqu'une règle a changé, l'intégralité de l'ancienne et de la nouvelle version est imprimée, mais
le changement réel entre eux peut être difficile à voir si les règles sont longues, complexes
et beaucoup.

La sortie normale pourrait ressembler à ceci :

Old : alert tcp any any -> any 22 (msg : "foo" ; drapeaux : A+ ; rev:1 ;)
Nouveau : alert tcp any any -> any 123 (msg: "foo"; flags: A+; rev:2;)

Lors de l'utilisation -m cela ressemblerait plutôt à quelque chose comme :

Ancien : ...tout tout -> tout 22 (msg : "foo" ;...
Nouveau : ...tout tout -> tout 123 (msg : "foo" ;...

-q Exécutez en mode silencieux. Rien n'est imprimé sauf s'il y a des changements dans les règles ou si
il y a des erreurs ou des avertissements.

-Q Exécutez en mode super-silencieux. C'est la même chose que -q mais encore plus silencieux lors de l'impression
les résultats (le "Aucun." n'est pas imprimé). Il supprimera également d'autres
messages d'avertissement tels que ceux pour les SID en double et les identificateurs de modification non correspondants
expressions.

-r Recherchez les fichiers de règles qui existent dans le répertoire de sortie mais pas dans le fichier téléchargé
archive des règles, c'est-à-dire les fichiers qui peuvent avoir été supprimés de l'archive de distribution.

-s Oubliez les détails lors de l'impression des résultats (alias mode bmc). Cela signifie que l'ensemble
les règles ajoutées/supprimées/modifiées ne seront pas imprimées, juste leur SID et msg
chaîne, plus le nom du fichier. Les modifications non liées aux règles sont imprimées comme d'habitude. Ce mode de sortie
pourrait être utile par exemple si vous envoyez le résultat par e-mail à des personnes qui ne
se soucient vraiment des détails des règles, juste du fait qu'elles ont été
mis à jour. Exemple de sortie lors de l'exécution avec -s

[+++] Règles ajoutées : [+++]

1607 - Accès WEB-CGI HyperSeek hsx.cgi (web-cgi.rules)
1775 - Tentative de connexion root MYSQL (mysql.rules)

[///] Règles actives modifiées : [///]

302 - EXPLOIT Redhat 7.0 débordement lprd (exploit.rules)
304 - Débordement du serveur d'appels EXPLOIT SCO (exploit.rules)
305 - Débordement du proxy du délégué EXPLOIT (exploit.rules)
306 - EXPLOITER l'administrateur de VQServer (exploit.rules)

-S filet
Utilisé en conjonction avec avec -U pour spécifier quel(s) fichier(s) dans le fichier téléchargé
archive(s) pour rechercher de nouvelles variables. Lorsqu'il n'est pas spécifié, snort.conf est vérifié.
Vous pouvez spécifier plusieurs -S filet pour rechercher de nouvelles variables dans plusieurs fichiers.

-T Recherchez les erreurs fatales dans le(s) fichier(s) de configuration, puis quittez. Avertissement éventuel
les messages sont également imprimés.

-u url Téléchargez l'archive des règles sur url au lieu de l'emplacement spécifié dans le
fichier de configuration. Il doit commencer par file://, ftp://, http://, https:// ou
scp:// et se terminent par ".tar.gz" ou ".tgz". Le fichier doit être un tarball gzippé
contenant un répertoire nommé "rules", contenant tous les fichiers de règles. Il ne doit pas
contenir des liens symboliques. Vous pouvez également pointer vers un répertoire local avec
dir:// . Pour les règles officielles de Snort, l'URL à utiliser dépend du
version de Snort que vous exécutez et cela peut également nécessiter une inscription. Consulter les règles
section de téléchargement sur le site Web de Snort pour trouver la bonne URL et plus d'informations.
N'oubliez pas de mettre à jour l'URL lors de la mise à niveau vers une nouvelle version majeure de Snort.

Vous pouvez spécifier plusieurs -u url pour récupérer plusieurs archives de règles de différents
Emplacements. Tous les fichiers de règles dans les archives seront placés dans le même répertoire de sortie
donc si le même nom de fichier existe dans plusieurs archives, Oinkmaster affichera une erreur
message et sortie. C'est pourquoi il est généralement recommandé d'exécuter Oinkmaster à la place
une fois pour chaque URL et utilisez des répertoires de sortie séparés. Si -u url est spécifié, il
remplace toutes les URL spécifiées dans le(s) fichier(s) de configuration. Notez que si plusieurs
Les URL sont spécifiées et l'une d'entre elles est cassée, Oinkmaster se fermera immédiatement
sans autre traitement. Cela peut être bon ou mauvais, selon la situation.

-U filet
Les variables (c'est-à-dire les lignes "var foo bar") qui existent dans snort.conf téléchargé mais pas dans
filet sera ajouté à filet juste après toutes les autres variables qu'il peut contenir.
Les variables existantes modifiées ne sont pas fusionnées, seulement les nouvelles. filet est normalement votre
copie de production de snort.conf (qui ne doit pas être un fichier mis à jour par
Oinkmaster la manière normale). Cette fonctionnalité est d'empêcher Snort de se casser au cas où
il y a de nouvelles variables ajoutées dans les règles téléchargées, car Snort ne peut pas démarrer si
les règles utilisent des variables qui ne sont définies nulle part. Par défaut lors de l'utilisation -U ,
le fichier snort.conf dans l'archive téléchargée recherche de nouvelles variables mais vous
peut remplacer cela avec le -S filet argument. Si vous téléchargez à partir de plusieurs URL,
Oinkmaster recherchera un snort.conf dans chaque archive de règles téléchargée.

-v Exécuter en mode détaillé/débogage. Devrait probablement être utilisé uniquement au cas où vous auriez besoin de déboguer
vos paramètres, comme la vérification d'instructions modifysid complexes. il te dira aussi
si vous essayez d'utiliser "disablesid" sur des SID inexistants. Avertissements concernant l'utilisation
enableid/localsid/modifysid sur les SID inexistants sont toujours imprimés à moins d'être en cours d'exécution
en mode silencieux, car ceux-ci sont généralement plus importants (en utilisant "disablesid" sur un non-
la règle existante est un NOOP de toute façon).

-V Afficher la version et quitter.

EXEMPLES

Téléchargez l'archive des règles à partir de l'emplacement par défaut spécifié dans oinkmaster.conf et placez le nouveau
règles dans /etc/rules/ :

maître d'encre -o /etc/règles

Récupérez l'archive des règles du système de fichiers local et n'imprimez rien à moins qu'elle ne contienne
règles mises à jour :

maître d'encre -u fichier:///tmp/rules.tar.gz -o /etc/règles -q

Télécharger l'archive des règles à partir de l'emplacement par défaut, faire une sauvegarde des anciennes règles s'il y en avait
mises à jour et envoyer les résultats par e-mail. (Notez cependant que si vous prévoyez de distribuer des fichiers
avec Oinkmaster qui pourrait être considéré comme sensible, comme les fichiers de configuration Snort
contenant des mots de passe de base de données, vous ne devez bien sûr pas envoyer la sortie par e-mail sans
en cryptant d'abord le contenu.):

maître d'encre -o / etc / snort / rules -b /etc/snort/sauvegarde 2> et 1 | \
E-mail -s "matière" [email protected]

Récupérez trois archives de règles différentes et fusionnez les variables qui existent dans les fichiers téléchargés
snort.conf et foo.conf mais pas dans le fichier /etc/snort/snort.conf local :

maître d'encre -u fichier:///tmp/foo.rules.tar.gz \
-u http://somewhere/rules.tar.gz -u https://blah/rules.tar.gz \
-o /etc/règles -S renifler.conf -S foo.conf -U /etc/snort/snort.conf

Chargez les paramètres à partir de deux fichiers différents, utilisez scp pour télécharger l'archive de règles à partir d'une télécommande
hôte où vous avez placé l'archive des règles, fusionnez les variables du snort.conf téléchargé et
envoyer les résultats par e-mail uniquement si quelque chose a changé ou s'il y a eu des messages d'erreur. Ce
suppose que la commande "mktemp" est disponible sur le système :

TMP=`mktemp /tmp/oinkmaster.XXXXXX` && \
(maître d'encre -C /etc/oinkmaster-global.conf \
-C /etc/oinkmaster-sensor.conf -o /etc/règles \
-U /etc/snort.conf \
-u scp://[email protected]:/home/user/rules.tar.gz \
> $TMP 2>&1; if [ -s $TMP ]; puis E-mail -s "matière" \
[email protected] < $TMP ; Fi; rm $TMP)

Utiliser oinkmaster en ligne en utilisant les services onworks.net