複数のネットワークセグメントを監視するために、1台のマシンに実際に2つ(またはそれ以上)の混合(スニッフィング)ポートを設定できるかどうか疑問に思いますか?そして、あなたはそれらすべてをsnortで監視できますか?
もちろんです。具体的には、「無差別」モードは、そのインターフェースで見られるすべてのパケットをアプリケーション層に渡す、ネットワークスタック上の単なるフラグです。例としてsnortを使用すると、これは多くの場合、マルチホームシステムを適切に監視する方法です。 1つNIC各アップリンクを監視しています。
IDSとしてsnortを使用する場合は、インターフェース仕様の処理方法に注意してください。インターフェイスオプションは、特定のインターフェイスまたはany
のいずれか1つの引数のみを受け入れます。 any
の問題は、ループバックを含め、プロセスがallインターフェイスをリッスンすることです。さらに、snortはシングルスレッドです(バージョン3.0で変更される予定です)。私は、snortdの複数のインスタンスを実行し、それぞれが単一のインターフェイスでリッスンすることを強くお勧めします。これがどのように達成されるかは、ディストリビューションによって異なります。 RedHatベースのシステムでは、ファイル/etc/sysconfig/snort
を編集し、INTERFACE
変数を設定します。たとえば、モニタリングにeth1とeth2を使用する場合は、
INTERFACE="eth2 eth3"
Initスクリプトは、リストされたインターフェースごとに個別のプロセスを自動的に起動します。
はい、できます。
無差別モードで2つのワイヤレスカードを使用して、2つの異なるチャネルを同時にスニッフィングしました。