Mettez à jour SNORT!

par **didier** » 14 Août 2002 12:29

en consultant mes logs d'apache ce matin j'ai vu que un code red v2 avait frappé à la porte. Bien sur il s'est fait rejeté par le videur, mais normalement il n'aurait pas du arriver jusqu'ici puisque Snort sur mon ipcop aurait du l'arreter. Moralité: procurer vous les dernières signatures en date de Snort <A HREF="http://www.snort.org/dl/signatures/snortrules.tar.gz" TARGET="_blank">ici</A> et installez-les! Comment? - le plus simple: décompresser le tarball avec winrar et uploader tous les fichiers "rules" et autres dans le répertoire /etc/snort/ avec Winscp - le plus propre: faites ça avec un "tar xvzf snortrules.tar.gz /etc/snort/ Vous êtes désormais à l'abri de code red & friends....du moins pour quelques temps <IMG SRC="images/smiles/icon_wink.gif"> _________________ >e2fsck a bien démarré, mais il m'a rendu la main aussitot en me disant "houlala, c'est pas beau à voir ton truc, je préfèrerai que tu tienne toi même la tronçonneuse" >NC in Guide du linuxien pervers : "Bien configurer sa tronçonneuse"

par **bri2** » 14 Août 2002 12:46

Ce qui m'étonne dans cette histoire, c'est que ipcop ne propose pas un nouveau fixes car il s'agit là d'un risque majeur !!!!

par **didier** » 14 Août 2002 13:30

le fait est que les développeurs de ipcop sont relativement peu nombreux, sont en vacances, ont un job, et ne passe pas tout leur temps sur le web pour regarder si tel ou tel soft est à jour ou pas. La seule chose qui ne peuvent pas se permettre c'est ommettre les mises à jour critiques de soft, genre libssl, ssh, apache...Et les rules de snort ne rentrent pas dans cette catégorie. 2 solutions: - Soit les développeurs de ipcop mettent en place un système de mises à jour automatiques, comme suggéré dans des précedents posts smoothwall, - Soit des utilisateurs de ipcop décident de faire un patch qu'ils soumettent à l'approbation des développeurs de ipcop. A voir.

par **bri2** » 14 Août 2002 13:53

VU le succés grandissant de ipcop, je suis d'accord avec toi sur un point important didier, il faut TROUVER UNE SOLUTION !!!! quelle qu'elle soit. Cependant le fait que la 0.12 en soit déjà à la pre4, fait peut-être espérer que la version finale soit rendue dispo à la rentrée (au plus tard fin octobre) ce qui expliquerait......

par **drlin** » 14 Août 2002 13:57

ca serait bien qu'il y aye un module de renouvellement des signatures snort qui fonctionne automatiquement.... ca serait le top!

par **Ooakley** » 14 Août 2002 16:33

Esperons que les devellopeurs d'IPCOP vous entendent <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_smile.gif"> Merci pour l'info sur la MaJ PS : je tourne toujours en 1.2pre4 et pas de probleme rencontré pour l'instant <IMG SRC="images/smiles/icon_biggrin.gif"> <IMG SRC="images/smiles/icon_biggrin.gif">

par **didier** » 15 Août 2002 01:15

Pour faire bonne mesure, j'ai consulté les logs de SNORT sur mon ipcop à l'instant...et si vous n'êtes toujours pas convaincu du bien fondé de mettre à jour vos rules Snort sur ipcop, lisez: J'avais auparavant tout un tas de logs dans snort qui ne voulaient pas dire grand chose car non identifiés. Désormais je sais ce que c'est, et ça fait froid dans le dos: SHELLCODE x86 NOOP Priority: 1 Type: Executable code was detected FTP command overflow attempt Priority: 3 Type: Generic Protocol Command Decode WEB-IIS ISAPI .ida attempt Priority: 1 Type: Web Application Attack WEB-IIS scripts access Priority: 2 Type: access to a potentially vulnerable web application ...Moralité: si vous avez des serveurs au travail ou chez vous qui sont critiques, ne lésinez pas sur les mises à jours de Snort, c'est surement salutaire, presqu'autant que le firewall lui-même.

par **batman** » 15 Août 2002 11:16

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2002-08-14 12:46, bri2 a écrit: Ce qui m'étonne dans cette histoire, c'est que ipcop ne propose pas un nouveau fixes car il s'agit là d'un risque majeur !!!! </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> ce qui m'étonne plus c'est que nimda/redcode ont commencé à sévire depuis plus d'un an ! (01/Aug/2001 - debut des attaques chez moi)

par **youky** » 15 Août 2002 11:22

Est-ce que ces MAJ sont necessaire pour Smoothwall egalement et si oui est-ce la meme procedure? <IMG SRC="images/smiles/icon_confused.gif">

par **didier** » 15 Août 2002 13:27

Cela fait un bout de temps que je suis uniquement sur ipcop, je ne sais pas si la mise à jour est nécessaire... Par contre il y a fort à parier que la technique de mise à jour soit identique.

Mettez à jour SNORT!

Qui est en ligne ?