Snort React per Webfiltering : "Soluzioni per le Leggi-Lista"
Download as ODP, PDF0 likes385 views
Il documento discute l'uso di Snort per il web filtering in relazione alle leggi italiane, evidenziando la necessità di bloccare contenuti come i siti di gioco d'azzardo non autorizzati. Vengono illustrate diverse soluzioni tecniche per il filtraggio delle connessioni e come configurare Snort per rispondere a minacce specifiche, inclusa l'implementazione del 'react' per gestire i pacchetti TCP. Infine, si forniscono istruzioni dettagliate per l'installazione e la configurazione di Snort e delle librerie necessarie per il funzionamento ottimale.
![SNORT SP_REACT.C 313: char tmp_head[] = "HTTP/1.1 302 FOUND\r\n Location: http://serverx:80 \r\n Server:Snort/2.8.3.2\r\n Connection:Close\r\n Content-Type:text/html\r\n\r\n";](https://image.slidesharecdn.com/viewattachment-090514143708-phpapp01/85/Snort-React-per-Webfiltering-Soluzioni-per-le-Leggi-Lista-32-320.jpg)
Snort React per Webfiltering : "Soluzioni per le Leggi-Lista"
- 1. Snort React per Webfiltering : "Soluzioni per le Leggi-Lista" Nicola Mondinelli Si è quella di prima...
- 2. snortattack.org Portale dove le tipologie di argomentazione trattate coprono a 360 gradi tutte le tematiche relative alla sicurezza: attacco/difesa Uso di Snort come soluzione alle innumerevoli problematiche di intrusione Un portale e una mailinglist Snort User Group finalizzato alla collaborazione per l'uso di Snort e la trattazione di problematiche relative alla security
- 3. Dura LEX sed LEX La legislazione (ITALIANA e non solo) ultimamente sta scoprendo internet Recentemente sono stati fatti ddl, promulgate leggi o disposizioni giudiziarie che mirano al blocco, oscuramento, dirottamento di servizi in internet ( 99% web )
- 4. Cosa: Legge CASINO' online Dallo stato italiano non deve essere possibile raggiungere siti di giochi di azzardo non italiani o non in regola con lo stato italiano (questione di denaro ovviamente) Caso The Pirate Bay Dirottamento delle connessioni tramite falsi record DNS impostati presso gli ISP CNCPO Il Centro Nazionale Conto la Pedopornografia Online, che è gestito dalla PdS fornisce una BL agli ISP DdL Anti-Blogger...
- 5. Esempio Pratico: CNCPO - Il CNCPO fornisce un BlackList dettagliata in forma tabellare a) IP b) IP + URL c) nome DNS server d) DNS + URL Ovviamente per scaricare la lista bisogna registrarsi, farsi dare un certificato digitale ecc... Altrimenti i pedofili andrebbero tutti sul sito del CNCPO per sapere quali siti visitare... (magari lo fanno...)
- 6. Soluzione ISP BLOCCO da server DNS Inserisco RR falsi che risolvono i domini nella BL facendoli puntare ad un server web con una bella paginetta del tipo: IO ASPETTO i 18
- 7. SOLUZIONE ISP Facilmente aggirabile
- 8. Non immediata Sia nel blacklisting che nella rimozione Fault Tolerant Se il server DNS muore, gli utenti navigano lo stesso, confidando nel secondo dns Facile da implementare Batch che gira di notte
- 9. ALTRE SOLUZIONI: Ci sono molte altre soluzioni: Proxy
- 10. Filtraggio a livello fw
- 11. Snort Inline
- 12. … Problema di Continuità di Servizio: Se il servizio di filtraggio muore blocco la connettività a tutti?
- 13. REACT: alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg: "SNORTATTACK AAMS ITALIAN LAW"; flow: to_server,established; content:"it.888.com"; reference:url,www.aams.it; classtype: policyviolation; sid:5002020; react: block, msg ; )
- 14. SNORT REACT Una modalità particolare di uso di snort in modalità FLEX RESPONSE è appunto il detection_plugin del react. C'e sempre stato ma non ha mai funzionato su win. >> Fixed in 2.8.4 by snortattack team.
- 15. SNORT REACT React permette di “reagire” ad un match mandando in risposta un pacchetto tcp preconfezionato pronto all'uso. La potenza del react e' che il pacchetto puo' essere forgiato in modo tale da intromettersi in una sessione TCP risultando valido.
- 16. SNORT REACT Solo Snort propone il funzionamento in modalità Flexible Response, tutti i dispositivi analoghi infatti operano unicamente Inline.
- 17. Snort offre due modi alternativi di operare in Flexible Response: FlexResp e FlexResp2. Il “react” è presente solo per FlexResp.
- 18. SNORT REACT
- 19. HOW IT WORKS
- 20. HOW IT WORKS SNORT FLEX RESPONSE usa le LibPCAP e non netfilter per leggere i pacchetti, quindi: Iptables non serve.
- 21. Potete ottimizzare il throughput usando la kernel patch PF_RING e le PCAP_RING
- 22. Breve carrellata di operazioni 1. Installazione dei pacchetti propedeutici: apt-get install vim gcc make build-essential libtool automake autoconf flex bison libpcre3-dev psmisc ethtool apache2 ntop ntpdate subversion apache2 kernel-package libncurses5-dev fakeroot wget bzip2 flex bison zlibc zlib1g-dev libnet0 libnet0-dev
- 23. Breve carrellata di operazioni Innanzitutto si scarica il PF_RING, in questo caso l’ultima versione: cd /usr/src svn co https://svn.ntop.org/svn/ntop/trunk/PF_RING/ Si verifica il kernel attualmente in uso: uname -a Si modifica lo script scaricato affinché generi la patch del kernel che si preferisce, in questo caso si è scelto di creare la patch per quello in uso: cd /usr/src/PF_RING/ vi mkpatch.sh edito kernel giusto VERSION=${VERSION:-2} PATCHLEVEL=${PATCHLEVEL:-6} SUBLEVEL=${SUBLEVEL:-26} Si lancia lo script che genera la patch: sh ./mkpatch.sh cd workspace/ cd linux-2.6.26-1-686-smp-PF_RING cp /boot/config-2.6.26-1-686-bigmem .config
- 24. Breve carrellata di operazioni Si abilita il pfring cosicché ne venga tenuto conto nella generazione del nuovo kernel : make menuconfig Si seleziona Networking -> Networking Options e ci si assicura che PF_RING socket sia abilitato. Si esce dal menù salvando le modifiche effettuate. Ora è possibile generare il pacchetto contenente il nuovo kernel e installarlo: make-kpkg clean fakeroot make-kpkg -initrd -revision=pfring.1.0 linux-image cd ../ dpkg -i linux-image-2.6.26_pfring.1.0_i386.deb L’utilizzo di questo nuovo kernel di default ad ogni boot va impostato nel seguente file: vi /boot/grub/menu.lst
- 25. Breve carrellata di operazioni Creiamo il file : vi /etc/modprobe.d/options inserendo la riga : options ring num_slots=65535 transparent_mode=0 Dove 65535 è la memoria occupata dal buffer ring. (scegliere a seconda della disponibilità, in caso sia maggiore bisogna cambiare nel grub la vmalloc=256M esempio di 256M)
- 26. Breve carrellata di operazioni Con il riavvio della macchina si verifica che il nuovo kernel venga effettivamente caricato: Reboot Copio il sorgente del ring nella directory linux: cp /usr/src/PF_RING/workspace/linux-2.6.26-1-686-smp- PF_RING/include/linux/ring.h /usr/include/linux/ cd /usr/src/PF_RING/userland Make
- 27. Breve carrellata di operazioni A questo punto si installano le librerie Libpfring : cd lib gcc -shared -Wl,-soname -Wl,libpfring.so.0.9.7 -o libpfring.so.0.9.7 *.o -lc cp libpfring.a libpfring.so.0.9.7 /usr/local/lib cp pfring.h /usr/local/include ln -s /usr/local/lib/libpfring.so.0.9.7 /usr/local/lib/libpfring.so ldconfig ldconfig -v |grep pfring Mediante quest’ultima istruzione si controlla che le librerie installate siano quelle corrette. La risposta deve quindi essere: libpfring.so.0.9.7 -> libpfring.so.0.9.7
- 28. Breve carrellata di operazioni Infine, si installano le librerie Libpcap-ring : cd /usr/src/PF_RING/userland wget http://www.tcpdump.org/release/libpcap-0.9.7.tar.gz tar -zxvf libpcap-0.9.7.tar.gz cd libpcap-0.9.7 mv pcap-int.h pcap-int.h.orig mv pcap-linux.c pcap-linux.c.orig cp ../libpcap-0.9.7-ring/pcap* . ./configure CPPFLAGS="-I/usr/local/include" LDFLAGS="-L/usr/local/lib" CFLAGS="-D_LARGEFILE_SOURCE -D_LARGEFILE64_SOURCE -D_FILE_OFFSET_BITS=64" make && gcc -shared -Wl,-soname -Wl,libpcap.so.`cat VERSION` -o libpcap.so.`cat VERSION` *.o -lc make install && cp libpcap.so.0.9.7 /usr/local/lib
- 29. Breve carrellata di operazioni A questo punto si installano le librerie Libpfring : cd lib gcc -shared -Wl,-soname -Wl,libpfring.so.0.9.7 -o libpfring.so.0.9.7 *.o -lc cp libpfring.a libpfring.so.0.9.7 /usr/local/lib cp pfring.h /usr/local/include ln -s /usr/local/lib/libpfring.so.0.9.7 /usr/local/lib/libpfring.so ldconfig ldconfig -v |grep pfring Mediante quest’ultima istruzione si controlla che le librerie installate siano quelle corrette. La risposta deve quindi essere: libpfring.so.0.9.7 -> libpfring.so.0.9.7
- 30. SNORT REACT Scaricate l'ultima versione del sorgente di snort
- 31. Dalla 2.8.4 non c'e' da applicare nessuna patch Editare il file: ./src/detection-plugins/sp_react.c
- 32. SNORT SP_REACT.C 313: char tmp_head[] = "HTTP/1.1 302 FOUND\r\n Location: http://serverx:80 \r\n Server:Snort/2.8.3.2\r\n Connection:Close\r\n Content-Type:text/html\r\n\r\n";
- 33. SNORT SP_REACT.C 314: char tmp_buf1[] = "<HTML><HEAD><TITLE>Snort</TITLE></HEAD><BODY BGCOLOR=\"#FFFFFF\"><CENTER><BR><H1>Snort!</H1>Version "; 315: char tmp_buf2[] = " Snortattack patch! <H1><BR><BR><FONT COLOR=\"#FF0000\">You are not authorized to open this site! </FONT><BR><BR></H1><H2>"; 316: char tmp_buf3[] = "<BR></H2><BR></BODY></HTML>";
- 34. SNORT SP_REACT.C Quindi: Pagina HTML generata = char tmp_buf1[] + SNORT_VER + char tmp_buf2[] + RULE_MSGID + char tmp_buf3[] Modificate pure questi 3 buffer con il contenuto html che più vi aggrada, avendo l'accortezza di escapare tutti i caratteri che devono essere escapati, è pur sempre un sorgente C. non modificate nient'altro nel file, a meno che non siate programmatori C esperti si intende!
- 35. SNORT REACT alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg: "SNORTATTACK AAMS ITALIAN LAW"; flow: to_server,established; content:"it.888.com"; reference:url,www.aams.it; classtype: policyviolation; sid:5002020; react: block, msg ; ) Ma anche: uri_content
- 36. http_header
- 37. Tutti i plugin che volete :-)
- 38. COMPILA SNORT cd snort-2.8.3.1 ./configure --enable-flexresp --enable-memory-cleanup --enable-linux-smpstats --enable-pthread vi src/Makefile Modifico il Makefile in modo tale che: si aggiunga la seguente riga LDFLAGS = -L/usr/local/lib -lpfring -lpcap ed esista questo testo: CPPFLAGS = -I/usr/local/include Se tutto fin qui è andato a buon fine, si esegue: make make install cd .. mkdir /var/log/snort
- 39. AVVIA SNORT snort -A fast -i br0 -b -d -D -c /etc/snort/snort.conf -l /var/log/snort/law/ --nolock-pidfile
- 40. Accorgimenti Batch che gira di notte Generare un sid univoco per ogni rule
- 41. Includere nel nome della rule il sito che si sta bloccando di modo da poter capire nei log cosa state bloccando
- 42. Testare...
- 43. Documentazione online www.netfilter.org www.snort.org http://snort-inline.sourceforge.net/index.html www.snortattack.org