oinkmaster - آنلاین در ابر

برنامه:

نام

استاد روغن - امضاهای Snort را به روز کنید

خلاصه

استاد روغن -o بیرون [گزینه ها]

شرح

Oinkmaster ابزار ساده‌ای است که به شما کمک می‌کند قوانین Snort خود را با اندک یا بدون جاری نگه دارید
تعامل کاربر یک تربال حاوی قوانین جدید را دانلود می کند و سپس می تواند فعال کند،
قبل از به‌روزرسانی محلی خود، قوانین مشخص شده را غیرفعال یا حتی تغییرات دلخواه خود را انجام دهید
فایل های قوانین همچنین تغییرات دقیق قوانین قبلی را به شما می گوید.

OPTIONS

تنها آرگومان مورد نیاز برای Oinkmaster این است -o بیرون جایی که بیرون دایرکتوری برای قرار دادن است
فایل های قوانین جدید وارد می شوند. این باید جایی باشد که قوانین خود را به صورت محلی نگه دارید. دانلود شده است
فایل‌ها قبل از بازنویسی با فایل‌های موجود در اینجا مقایسه می‌شوند.

استدلال های اختیاری:

-b دیر اگر قوانین اصلاح شده باشد، یک تاربول از قوانین قدیمی شما وارد می شود دیر
قبل از بازنویسی آنها با فایل های جدید. در صورت عدم وجود فایل، هیچ نسخه پشتیبان تهیه نمی شود
تغییر کرده یا اگر Oinkmaster در حالت دقت اجرا می شود.

-c در حالت دقت اجرا کنید. این بدان معنی است که Oinkmaster فقط به روز رسانی و
آنها را چاپ کنید، اما چیزی را به روز نکنید.

-C cfg از این فایل پیکربندی به جای پیش فرض استفاده کنید. اگر مشخص نشده باشد،
oinkmaster.conf در جستجو خواهد شد /و غیره/ و پس از آن /usr/local/etc/. تو می توانی
چندگانه را مشخص کنید -C cfg برای بارگیری چندین فایل پیکربندی بارگذاری خواهند شد
به ترتیب ظاهر شدن در خط فرمان اگر گزینه ای دوباره تعریف شود، لغو می شود
مقدار قبلی (به جز گزینه "url" که مجاز به تعیین آن هستید
چندین URL).

-e قوانینی را که به طور پیش‌فرض در بایگانی قوانین دانلود شده غیرفعال هستند، فعال کنید
حذف تمام "#" پیشرو از آنها. اگر قوانین غیرفعال در آن وجود دارد
آرشیو، آنها به همین شکل باقی می مانند مگر اینکه از این گزینه استفاده کنید. به یاد داشته باشید که آنها
به دلیلی غیرفعال هستند (حتی ممکن است کار نکنند)، بنابراین با احتیاط از این گزینه استفاده کنید.

-h آرگومان های خط فرمان معتبر را با توضیحات کوتاه نشان دهید

-i حالت تعاملی را فعال کنید قبلاً از شما خواسته می شود که تغییرات را (در صورت وجود) تأیید کنید
به روز رسانی هر چیزی

-m با حذف کردن، تفاوت را هنگام چاپ نتایج برای قوانین اصلاح شده به حداقل رسانده/ساده کنید
بخش‌های اصلی و متداول قانون قدیم و جدید، بنابراین دیدن آن آسان‌تر است
تغییر واقعی چند کاراکتر در سمت چپ و راست تغییر نیز وجود دارد
چاپ شده است تا شما مقداری زمینه را دریافت کنید. هنگام مقایسه، کلمه کلیدی rev نادیده گرفته می شود
و حذف قسمت های مشترک انجام می شود زیرا اغلب کل ایده را می سازد
مردود شدن. (اگر فکر می‌کنید مهم است که بتوانید تأیید کنید که عدد دور دارای این عدد است
هنگامی که یک قانون به روز شده است، افزایش می یابد، از حالت تفاوت کمینه استفاده نکنید.)

به طور معمول وقتی یک قانون تغییر کرده است، کل نسخه های قدیمی و جدید چاپ می شوند، اما
تغییر واقعی بین آنها می تواند دشوار باشد که ببینیم آیا قوانین طولانی و پیچیده هستند
و بسیاری از.

خروجی معمولی می تواند به شکل زیر باشد:

قدیمی: alert tcp any any -> any 22 (msg: "foo"; flags: A+; rev:1;)
جدید: alert tcp any any -> any 123 (msg: "foo"; flags: A+; rev:2;)

هنگام استفاده از -m در عوض چیزی شبیه به:

قدیمی: ...any any -> any 22 (msg: "foo";...
جدید: ...any any -> any 123 (msg: "foo";...

-q در حالت بی صدا اجرا شود. هیچ چیزی چاپ نمی شود مگر اینکه تغییراتی در قوانین یا اگر ایجاد شود
خطاها یا هشدارهایی وجود دارد.

-Q در حالت فوق العاده بی صدا اجرا کنید. این همان است -q اما هنگام چاپ حتی بی صدا تر است
نتایج (موارد "هیچ" چاپ نشده است). برخی دیگر را نیز سرکوب خواهد کرد
پیام های هشدار دهنده مانند پیام های SID های تکراری و تغییر نامتناسب
اصطلاحات.

-r فایل‌های قوانینی را که در فهرست خروجی وجود دارد اما در فایل دانلود شده وجود ندارد، بررسی کنید
بایگانی قوانین، یعنی فایل هایی که ممکن است از آرشیو توزیع حذف شده باشند.

-s هنگام چاپ نتایج (معروف به حالت bmc) جزئیات را فراموش نکنید. این بدان معنی است که کل
قوانین اضافه / حذف / اصلاح شده چاپ نمی شود، فقط SID و پیام آنها چاپ می شود
رشته، به اضافه نام فایل. تغییرات غیرقانونی طبق معمول چاپ می شوند. این حالت خروجی
برای مثال اگر خروجی را از طریق ایمیل برای افرادی که این کار را نمی کنند ارسال کنید، می تواند مفید باشد
واقعاً به جزئیات قوانین اهمیت می دهند، فقط به این واقعیت که آنها بوده اند
به روز شد. خروجی نمونه هنگام اجرا با -s

[+++] قوانین اضافه شده: [+++]

1607 - دسترسی WEB-CGI HyperSeek hsx.cgi (web-cgi.rules)
1775 - تلاش برای ورود به سیستم ریشه MYSQL (mysql.rules)

[///] قوانین فعال اصلاح شده: [///]

302 - EXPLOIT Redhat 7.0 lprd سرریز (exploit.rules)
304 - EXPLOIT SCO calserver سرریز (exploit.rules)
305 - سرریز پراکسی نمایندگی EXPLOIT (exploit.rules)
306 - EXPLOIT VQServer admin (exploit.rules)

-S پرونده
همراه با استفاده می شود -U برای مشخص کردن فایل(های) موجود در دانلود شده
بایگانی(ها) برای جستجوی متغیرهای جدید. هنگامی که مشخص نشده است، snort.conf علامت زده می شود.
ممکن است چندتایی را مشخص کنید -S پرونده برای جستجوی متغیرهای جدید در چندین فایل.

-T فایل(های) پیکربندی را برای خطاهای مهلک بررسی کنید و سپس خارج شوید. هشدار احتمالی
پیام ها نیز چاپ می شوند.

-u آدرس دانلود آرشیو قوانین از آدرس به جای مکان مشخص شده در
فایل پیکربندی. باید با file://، ftp://، http://، https:// یا شروع شود
scp:// و با ".tar.gz" یا ".tgz" ختم شود. فایل باید به صورت gzip تاربال باشد
حاوی دایرکتوری به نام "قوانین" که همه فایل های قوانین را در خود جای داده است. نباید
حاوی هر گونه پیوند نمادین باشد. شما همچنین می توانید به یک فهرست محلی اشاره کنید
dir:// . برای قوانین رسمی Snort، URL مورد استفاده به این بستگی دارد
نسخه Snort که اجرا می کنید و ممکن است نیاز به ثبت نام داشته باشد. از قوانین دیدن کنید
بخش دانلود در وب سایت Snort برای یافتن URL مناسب و اطلاعات بیشتر.
به یاد داشته باشید که هنگام ارتقاء به نسخه اصلی جدید Snort، URL را به روز کنید.

ممکن است چندتایی را مشخص کنید -u آدرس برای گرفتن آرشیو قوانین متعدد از مختلف
مکان ها تمام فایل های قوانین موجود در بایگانی در همان فهرست خروجی قرار می گیرند
بنابراین اگر یک نام فایل در چندین آرشیو وجود داشته باشد، Oinkmaster یک خطا را چاپ می کند
پیام و خروج به همین دلیل است که معمولاً توصیه می شود به جای آن Oinkmaster را اجرا کنید
یک بار برای هر URL و از دایرکتوری های خروجی جداگانه استفاده کنید. اگر -u آدرس مشخص شده است، آن
URL های مشخص شده در فایل(های) پیکربندی را لغو می کند. توجه داشته باشید که اگر چندتایی باشد
URL ها مشخص شده اند و یکی از آنها خراب است، Oinkmaster بلافاصله خارج می شود
بدون پردازش بیشتر این بسته به شرایط می تواند خوب یا بد باشد.

-U پرونده
متغیرهایی (یعنی خطوط var foo bar) که در snort.conf دانلود شده وجود دارند اما در
پرونده به اضافه خواهد شد پرونده درست بعد از هر متغیر دیگری که ممکن است شامل شود.
متغیرهای موجود اصلاح شده ادغام نمی شوند، فقط متغیرهای جدید هستند. پرونده به طور معمول شما است
نسخه تولیدی snort.conf (که نباید فایلی باشد که توسط
Oinkmaster به روش معمولی). این ویژگی برای جلوگیری از شکستن Snort در صورت است
متغیرهای جدیدی در قوانین دانلود شده اضافه شده است، زیرا Snort نمی تواند شروع شود اگر
قوانین از متغیرهایی استفاده می کنند که هیچ جا تعریف نشده اند. به طور پیش فرض هنگام استفاده -U ,
فایل snort.conf در بایگانی دانلود شده جستجو برای متغیرهای جدید است اما شما
می تواند این را با -S پرونده بحث و جدل. اگر از چندین URL دانلود می کنید،
Oinkmaster در هر بایگانی قوانین دانلود شده به دنبال یک snort.conf خواهد بود.

-v در حالت کلامی/اشکال‌زدایی اجرا کنید. احتمالاً فقط در صورت نیاز به اشکال زدایی باید استفاده شود
تنظیمات شما، مانند تأیید عبارات پیچیده modifysid. به شما هم خواهد گفت
اگر سعی می کنید از "disablesid" در SID های موجود استفاده کنید. هشدار در مورد استفاده
enablesid/localsid/modifysid در SID های موجود همیشه چاپ می شود مگر اینکه در حال اجرا
در حالت بی صدا، زیرا معمولاً مهمتر هستند (استفاده از "disablesid" در غیر
قانون موجود به هر حال یک NOOP است).

-V نمایش نسخه و خروج

مثال ها

بایگانی قوانین را از محل پیش فرض مشخص شده در oinkmaster.conf دانلود کنید و جدید را قرار دهید
قوانین در /etc/rules/:

استاد روغن -o /etc/rules

قوانین را از فایل سیستم محلی بایگانی کنید و چیزی را چاپ نکنید مگر اینکه حاوی آن باشد
قوانین به روز شده:

استاد روغن -u file:///tmp/rules.tar.gz -o /etc/rules -q

بایگانی قوانین را از مکان پیش فرض دانلود کنید، در صورت وجود، از قوانین قدیمی نسخه پشتیبان تهیه کنید
به روز رسانی، و ارسال خروجی از طریق ایمیل. (با این حال توجه داشته باشید که اگر قصد دارید فایل ها را توزیع کنید
با Oinkmaster که می تواند حساس در نظر گرفته شود، مانند فایل های پیکربندی Snort
که حاوی رمزهای عبور پایگاه داده است، البته نباید خروجی را بدون آن از طریق ایمیل ارسال کنید
ابتدا محتوا را رمزگذاری کنید.):

استاد روغن -o /etc/snort/rules -b /etc/snort/backup 2> و 1 | \
پست -s "موضوع" [ایمیل محافظت شده]

سه بایگانی قوانین مختلف را بگیرید و متغیرهایی را که در دانلود شده وجود دارد ادغام کنید
snort.conf و foo.conf اما نه در /etc/snort/snort.conf محلی:

استاد روغن -u file:///tmp/foo.rules.tar.gz \
-u http://somewhere/rules.tar.gz -u https://blah/rules.tar.gz \
-o /etc/rules -S خروپف.conf -S foo.conf -U /etc/snort/snort.conf

تنظیمات را از دو فایل مختلف بارگیری کنید، از scp برای دانلود آرشیو قوانین از راه دور استفاده کنید
میزبانی که آرشیو قوانین را در آن قرار داده اید، متغیرها را از دانلود شده snort.conf ادغام کنید، و
فقط در صورتی که چیزی تغییر کرده باشد یا پیام های خطایی وجود داشته باشد، نتایج را از طریق ایمیل ارسال کنید. آی تی
فرض می کند که دستور "mktemp" در سیستم موجود است:

TMP=`mktemp /tmp/oinkmaster.XXXXXX` && \
(استاد روغن -C /etc/oinkmaster-global.conf \
-C /etc/oinkmaster-sensor.conf -o /etc/rules \
-U /etc/snort.conf \
-u scp://[ایمیل محافظت شده]:/home/user/rules.tar.gz \
> $TMP 2>&1; if [ -s $TMP ]; سپس پست -s "موضوع" \
[ایمیل محافظت شده] < $TMP; fi; rm $TMP)

با استفاده از خدمات onworks.net از oinkmaster به صورت آنلاین استفاده کنید