使用Snort

Question

是否有规则要求Snort检测端口22上的SSH版本扫描？

scan can be done either using "nmap -p 22 -sV 192.168.1.1" 要么 使用msf auxiliary(ssh_version)

在Kali上

Answer 1

可以使用2种规则。

alert tcp any any -> any 22 (content:"SSH-2.0"; nocase; depth:7;)

alert tcp any 22 -> any any (content:"SSH-2.0"; nocase; depth:7;)

您想要ssh扫描的流量吗？

这是ssh扫描的响应流量。并且下一个规则可以检测字符串模式“SSH-”是否在2秒内发生10次。

alert tcp any 22 -> any any (content:"SSH-"; nocase; depth:4; threshold:type threshold,track by_src,count10,seconds 2;)