snort regla duda

Logout · #1 (**permalink**) 19/12/2006, 13:14

Trato de crear una lista de las direcciones IP de los servidores de correo que los usuarios de una LAN ocupan para transacción de correos mediante SMTP.

Mi regla en el archivo de regla que he creado es:

log tcp any any -> <mi direccion> 25 (msg:"Protocolo SMTP"; flags:AP;flow:from_client,stablished;).

Creo que esta regla funciona pero como hacer para generar solo la lista de direcciones, otra duda que me asalta es si es necesario especificar el puerto en el origen.

Saludos,

Logout.

BrujoNic · #2 (**permalink**) 19/12/2006, 15:05

Intenta revisando un poco en este filtro que usé en google.

reglas snort

Logout · #3 (**permalink**) 19/12/2006, 15:21

Gracias BrujoNic, buena parte de estos ya los he revisado, veré que puedo encontrar.

Salu2

Alfon · #4 (**permalink**) 20/12/2006, 05:13

Para eso creo que es mejor usar windump. Con los parámetros adecuados te creará un archivo con las direcciones de los servidores que estais usando.

Por ejemplo con "dst port 25". si quiere que el log tenga la mínima información posible para tener solo las direcciones:

- n (para que no resuelva los nombre de host)
- t (elimina las marcas de tiempo)
- q (salida rápida con la informción más básica)

De esta forma yo lo haría de esta forma

c:\windump -i(interface) -qtn dst port 25 > salida.txt

Sobre tu duda te diré que no es necesario especificar el puerto en origen.