SSH 탐지하기

ubuntu

$ alert tcp any any -> ubuntu_ip 22 (msg: "Detect SSH"; content: "SSH"; nocase; offset: 0; depth: 4; sid:1000001;)

- 이전 탐지 룰에 offset, depth 추가
- 문자열 위치 정확히 지정하지 않음 --> 미탐지

kali

$ ssh root@ubuntu_ip

ubuntu

$ snort -A console -q -u snort -g snort -c /etc/snort/snort.conf

SSH 계정별 구분

페이로드 영역 : 암호문 상태 --> 계정별 접속 불가