Visualizza flussi attivi in Snort

Introduzione

In questo documento viene descritto come usare il comando show snort flows per visualizzare i flussi attivi di Snort.

Contrasto rispetto a questa release

Panoramica delle funzionalità

• La nuova CLI show snort flow viene utilizzata per visualizzare i flussi attivi nella Snort 3 flow cache.
• Vengono fornite informazioni dettagliate sui flussi attivi durante l'esecuzione del processo Snort 3.
• L'output fornisce lo stato del flusso di dati, dell'IP di origine e di destinazione e della porta.
• Consente di isolare ed eseguire il debug dei problemi negli ambienti di produzione.

Piattaforme software e hardware minime

Snort 3, IPv6, supporto multi-istanza e HA/clustering

• Funziona sia con IPv4 che con IPv6.
• Richiede che Snort 3 sia il motore di rilevamento

Altri aspetti del supporto

Descrizione delle funzionalità e procedura dettagliata

In questa sezione viene fornita una procedura dettagliata, incluso il timeout di flusso, e i dettagli su altre funzionalità.

Nuova interfaccia CLI Mostra flussi di snort

> show snort flows
TCP 0: x1.x1.x1.2/38148 x1.x1.x1.1/22 pkts/bytes client 9/2323 server 6/2105 idle 7s, uptime 7s, timeout 59m53s state client EST server EST
ICMP 0: x1.x1.x1.2 type 8 x1.x1.x1.1 pkts/bytes client 1/98 server 1/98 idle 0s, uptime 0s, timeout 3m0s
UDP 0: x1.x1.x1.1/40101 x1.x1.x1.1/12345 pkts/bytes client 3/141 server 0/0 idle 19s, uptime 58s, timeout 2m41s

Nell'esempio vengono mostrati tre flussi: TCP, ICMP e UDP.

Per il flusso TCP, i valori sono:

• Protocollo - TCP/ICMP/UDP/IP
• ID spazio indirizzi - ID VRF dell'interfaccia
• SourceIP/Port: x1,x1,x1,2/38148
• IP/porta di destinazione: x1,x1,x1,1/22
• Pacchetti/byte client - 9/2323
• Pacchetti/byte server - 6/2105
• Idle - Tempo trascorso dall'ultimo pacchetto nel flusso
• Tempo di attività - Tempo trascorso dall'impostazione del flusso
• Timeout - Timeout flusso
• Stato client (solo flussi TCP) - EST
• Stato server (solo flussi TCP) - EST

Stati di flusso client e server

• Lo stato del client e lo stato del server nell'output vengono visualizzati solo se il protocollo è TCP.
• Questi sono i valori possibili e il significato di ogni acronimo, per ogni stato:

Opzioni filtro

Il comando show snort flows supporta le opzioni di filtraggio in cui vengono generati solo i flussi che corrispondono ai filtri.  La sintassi è

show snort flows <opzione filtro> <valore>

Le opzioni di filtro sono:

• proto - TCP/UDP/IP/ICMP
• src_ip - filtra i flussi in base all'ip di origine
• dst_ip - filtra i flussi in base all'ip di destinazione
• src_port - filtra i flussi per porta di origine
• dst_port - filtra i flussi in base alla porta di destinazione

Il comando > show snort flows proto TCP elenca solo i flussi TCP:

TCP 0: x1.x1.x1.2/45508 x1.x1.x1.1/22 pkts/bytes client 10/2389 server 7/2171 idle
30s, uptime 150s, timeout 59m30s state client CLW server FW2

Potenziale risposta di errore

• L'utente CLI ha ricevuto una risposta "impossibile elaborare il comando, riprovare più tardi".
• Questo si verifica quando, ad esempio, l'Snort 3 è inattivo, quando l'Snort 3 è occupato o quando l'Snort 3 non elabora i comandi dei socket di controllo (ad esempio, i thread in stato bloccato).
• Condizioni per il corretto funzionamento della CLI:
  • Lo snort 3 è in esecuzione.
  • Lo snort 3 risponde ai comandi di controllo sul socket del dominio UNIX.

Arresto di CLI/Output

• Come per qualsiasi comando CLI, è possibile visualizzare il prompt dei comandi premendo CTRL+C , ma il comando è già stato passato a tutti i thread di pacchetto ed è in esecuzione fino al completamento in Snort.
• Il comando viene completato quando si applicano entrambe le condizioni:
  • Tutti i flussi nella cache di flusso sono stati visualizzati
  • Tutti i flussi che corrispondono ai filtri nel comando CLI sono stati scritti nei file che servono da input per il comando da inviare nella CLI.

Conseguenze sulle prestazioni

• Questa è una CLI di debug. Per ogni pacchetto che esaminiamo, osserviamo circa 100 flussi dalla tabella dei flussi e stampiamo i flussi che corrispondono ai criteri.
• L'esecuzione di show snort flow ha un impatto sulle prestazioni.

Riferimenti

Wireless LAN Controller serie 9800

Q: È possibile utilizzare più di un filtro in "show snort flows"?

A: Sì, la CLI supporta l'uso di più filtri alla volta ed emette flussi corrispondenti a entrambi i filtri.

Q: Quali protocolli sono supportati?

A: IP/TCP/UDP/ICMP