Exibir Fluxos Ativos no Snort

Introdução

Este documento descreve como usar o comando show snort flows para visualizar fluxos ativos no Snort.

Comparando com anterior a esta versão

Visão geral do recurso

• O novo comando CLI show snort flows é usado para exibir os fluxos ativos no cache de fluxo do Snort 3.
• Isso fornece detalhes dos fluxos ativos na execução do processo do Snort 3.
• A saída fornece o estado do fluxo do Snort, o IP origem e destino e a porta.
• Ele ajuda a isolar e depurar problemas em ambientes de produção.

Plataformas mínimas de software e hardware

Suporte a Snort 3, IPv6, várias instâncias e HA/clustering

• Funciona com IPv4 e IPv6.
• Requer que o Snort 3 seja o mecanismo de detecção

Outros aspectos do suporte

Descrição do recurso e passo a passo

Esta seção fornece um passo a passo, incluindo o tempo limite do fluxo e detalhes sobre mais recursos.

Novo CLI Show Snort Flows

> show snort flows
TCP 0: x1.x1.x1.2/38148 x1.x1.x1.1/22 pkts/bytes client 9/2323 server 6/2105 idle 7s, uptime 7s, timeout 59m53s state client EST server EST
ICMP 0: x1.x1.x1.2 type 8 x1.x1.x1.1 pkts/bytes client 1/98 server 1/98 idle 0s, uptime 0s, timeout 3m0s
UDP 0: x1.x1.x1.1/40101 x1.x1.x1.1/12345 pkts/bytes client 3/141 server 0/0 idle 19s, uptime 58s, timeout 2m41s

Este exemplo mostra três fluxos:TCP, ICMP e UDP.

Para o fluxo TCP, os valores são:

• Protocolo - TCP/ICMP/UDP/IP
• ID do espaço de endereço - ID do VRF da interface
• IP/Porta de origem: x1.x1.x1.2/38148
• IP/Porta de Destino: x1.x1.x1.1/22
• Pacotes/bytes do cliente - 9/2323
• Pacotes/bytes de servidor - 6/2105
• Ocioso - Tempo desde o último pacote no fluxo
• Tempo de atividade - Tempo desde a configuração do fluxo
• Tempo limite - Tempo limite do fluxo
• Estado do cliente (somente fluxos TCP) - EST
• Estado do servidor (somente fluxos TCP) - EST

Estados de Fluxo do Cliente e do Servidor

• O estado do cliente e o estado do servidor na saída só aparecem se o protocolo for TCP.
• Estes são valores possíveis e o que cada acrônimo significa, para cada estado:

Opções de filtro

O comando show snort flows suporta opções de filtragem em que apenas os fluxos correspondentes aos filtros são de saída.  A sintaxe é

show snort flows <opção de filtro> <valor>

As opções de filtro são:

• proto -TCP/UDP/IP/ICMP
• src_ip - filtrar fluxos por ip de origem
• dst_ip - filtrar fluxos por ip de destino
• src_port - filtrar fluxos por porta de origem
• dst_port - filtrar fluxos por porta de destino

O comando > show snort flows proto TCP lista apenas os fluxos TCP:

TCP 0: x1.x1.x1.2/45508 x1.x1.x1.1/22 pkts/bytes client 10/2389 server 7/2171 idle
30s, uptime 150s, timeout 59m30s state client CLW server FW2

Possível Resposta a Erros

• O usuário CLI pode obter uma resposta "não é possível processar o comando, tente novamente mais tarde".
• Isso acontece quando, por exemplo, o Snort 3 está inoperante, quando o Snort 3 está ocupado ou quando o Snort 3 não está processando comandos de soquete de controle (como threads em estado de travamento).
• Condições para a execução bem-sucedida do CLI:
  • O Snort 3 está em execução.
  • O Snort 3 está respondendo aos comandos de controle sobre o soquete de domínio UNIX.

Parando CLI/Saída

• Como qualquer comando CLI, você pode obter o prompt de comando pressionando CTRL +C , mas o comando já foi passado para todos os threads de pacote e é executado até a conclusão no Snort.
• O comando é concluído quando ambas as condições se aplicam:
  • Todos os fluxos no cache de fluxo foram exibidos
  • Todos os fluxos que correspondem aos filtros no comando CLI foram gravados nos arquivos que servem como entrada para o comando exibir na CLI.

Impacto de desempenho

• Esta é uma CLI de depuração. Para cada pacote que executamos, observamos cerca de 100 fluxos da tabela de fluxo e imprimimos os fluxos que correspondem aos critérios.
• A execução de show snort flows tem um impacto no desempenho.

Referências

Perguntas freqüentes

P: Podemos usar mais de um filtro em "show snort flows

R: Sim, o CLI oferece suporte ao fornecimento de mais de um filtro por vez e gera fluxos de saída correspondentes a ambos os filtros.

P: Que protocolos são suportados?

R: IP/TCP/UDP/ICMP