المحتويات

المقدمة

التباين قبل هذا الإصدار

نظرة عامة على الميزة

الحد الأدنى للبرامج والأجهزة الأساسية

دعم نظام التشغيل Snort 3 و IPv6 و Multi-Instance و HA/Cluster

جوانب الدعم الأخرى

وصف الميزة والتنقل عبر

واجهة سطر الأوامر الخاصة بعرض العرض الجديد

حالات تدفق العميل والخادم

خيارات التصفية

إستجابة الخطأ المحتمل

إيقاف CLI/الإخراج

تأثير الأداء

المراجع

الأسئلة المتداولة

المقدمة

يوضح هذا المستند كيفية إستخدام الأمر show snort flow لعرض التدفقات النشطة في snort.

التباين قبل هذا الإصدار

نظرة عامة على الميزة

- يتم إستخدام CLI الجديد عرض تدفقات snort لعرض التدفقات النشطة في ذاكرة التخزين المؤقت لتدفق Snort 3.

- يوفر ذلك تفاصيل التدفقات النشطة في عملية Snort 3 قيد التشغيل.

- يزود الإنتاج الحالة من ال snort تدفق، مصدر وغاية ip ومنفذ.

- وتساعد في عزل المشاكل وتصحيح أخطائها في بيئات الإنتاج.

مفسد (إبراز إلى القراءة)

ملاحظة: تم تقديم هذه الميزة للحصول على إمكانية النظر إلى تدفقات Snort النشطة والعميل، وحالات تدفق الخادم، والمهلة، والمزيد.

ملاحظة: تم تقديم هذه الميزة للحصول على إمكانية النظر إلى تدفقات Snort النشطة والعميل، وحالات تدفق الخادم، والمهلة، والمزيد.

الحد الأدنى للبرامج والأجهزة الأساسية

دعم نظام التشغيل Snort 3 و IPv6 و Multi-Instance و HA/Cluster

- يعمل مع كل من IPv4 و IPv6.

- يتطلب أن يكون Snort 3 محرك الكشف

جوانب الدعم الأخرى

وصف الميزة والتنقل عبر

يوفر هذا القسم طريقة مرور، بما في ذلك مهلة التدفق، وتفاصيل حول المزيد من الميزات.

واجهة سطر الأوامر الخاصة بعرض العرض الجديد

> show snort flows

TCP 0: x1.x1.x1.2/38148 x1.x1.x1.1/22 pkts/bytes client 9/2323 server 6/2105 idle 7s, uptime 7s, timeout 59m53s state client EST server EST

ICMP 0: x1.x1.x1.2 type 8 x1.x1.x1.1 pkts/bytes client 1/98 server 1/98 idle 0s, uptime 0s, timeout 3m0s

UDP 0: x1.x1.x1.1/40101 x1.x1.x1.1/12345 pkts/bytes client 3/141 server 0/0 idle 19s, uptime 58s, timeout 2m41s

يوضح هذا المثال ثلاث تدفقات:TCP و ICMP و UDP.

لتدفق TCP، القيم هي:

- البروتوكول - TCP/ICMP/UDP/IP

- معرف مساحة العنوان - معرف VRF للواجهة

- SourceIP / Port: x1.x1.x1.2/38148

- غاية IP/ميناء: x1.x1.x1.1/22

- وحدات PKTS/بايت العميل - 9/2323

- وحدات PKTS/بايت للخادم - 6/2105

- وضع الخمول - الوقت منذ آخر تدفق للحزمة

- وقت التشغيل - الوقت منذ إعداد التدفق

- المهلة - مهلة التدفق

- حالة العميل (تدفقات TCP فقط) - EST

- حالة الخادم (تدفق TCP فقط) - EST

حالات تدفق العميل والخادم

- تظهر حالة العميل وحالة الخادم في الإخراج فقط إذا كان البروتوكول هو TCP.

- هذه هي القيم المحتملة وما يعنيه كل إختصار، لكل حالة:

خيارات التصفية

يدعم الأمر show snort flow خيارات التصفية حيث تكون التدفقات التي تطابق عوامل التصفية هي المخرج فقط.  صياغة الأمر هي

إظهار تدفقات snort <filter option> <value>

خيارات المرشح هي:

- بروتوكول -TCP/UDP/IP/ICMP

- src_ip - تدفقات التصفية حسب مصدر ip

- dst_ip - تدفقات التصفية حسب عنوان IP للوجهة

- src_port - تدفقات التصفية حسب منفذ المصدر

- dst_port - تدفق التصفية حسب منفذ الوجهة

يسرد الأمر > show snort flow proto TCP تدفقات TCP فقط:

TCP 0: x1.x1.x1.2/45508 x1.x1.x1.1/22 pkts/bytes client 10/2389 server 7/2171 idle

30s, uptime 150s, timeout 59m30s state client CLW server FW2

مفسد (إبراز إلى القراءة)

ملاحظة: أنت يستطيع أيضا استعملت أكثر من واحد مرشح في الأمر.  على سبيل المثال,

> show snort flow proto TCP src_ip x1.x1.x1.2 - إخراج تدفقات TCP التي تحتوي على src ip x1.x1.x1.2

ملاحظة: أنت يستطيع أيضا استعملت أكثر من واحد مرشح في الأمر.  على سبيل المثال، > show snort flow proto TCP src_ip x1.x1.x1.2 - إخراج تدفقات TCP التي تحتوي على src ip x1.x1.x1.2

إستجابة الخطأ المحتمل

- يمكن لمستخدم واجهة سطر الأوامر (CLI) الحصول على إستجابة "غير قادر على معالجة الأمر، يرجى المحاولة مرة أخرى لاحقا".

- وهذا يحدث عندما يكون Snort 3 مثلا معطلا أو عندما يكون Snort 3 مشغولا أو عندما لا يقوم Snort 3 بمعالجة أوامر مأخذ التحكم (مثل مؤشرات الترابط في حالة التصق).

- شروط تشغيل واجهة سطر الأوامر (CLI) بنجاح:

- النورتي 3 قيد التشغيل.

- يستجيب Snort 3 لأوامر التحكم على مقبس مجال UNIX.

إيقاف CLI/الإخراج

- مثل أي أمر CLI، يمكنك الحصول على موجه الأمر بالضغط على CTRL+C، ولكن الأمر قد تم تمريره بالفعل إلى جميع مؤشرات ترابط الحزمة ويتم تشغيله إلى الإكمال في Snort.

- يتم إكمال الأمر عند تطبيق كلا الشرطين:

- تم عرض كافة التدفقات في ذاكرة التخزين المؤقت للتدفق

- كل التدفقات التي تطابق عوامل التصفية في أمر CLI تمت كتابتها إلى الملفات التي تعمل كإدخال للأمر أن يتم إخراجه في CLI.

تأثير الأداء

- هذه واجهة سطر أوامر (CLI) تصحيح أخطاء. في كل حزمة نقوم بتشغيلها، نلقي نظرة على حوالي 100 تدفق من جدول التدفق ونطبع التدفقات التي تطابق المعايير.

- يؤثر تشغيل تدفقات الشورط على الأداء.

المراجع

الأسئلة المتداولة

س: هل يمكننا إستخدام أكثر من عامل تصفية في إظهار تدفقات الشخير

ج: نعم، تدعم واجهة سطر الأوامر (CLI) توفير أكثر من عامل تصفية واحد في كل مرة وتنتج تدفقات تطابق كلا عوامل التصفية.

س: ما البروتوكولات المدعومة؟

ج: IP/TCP/UDP/ICMP