Sniffles--Packet Capture Generator for IDS e Valutazione di Espressioni Regolari

Sniffles è uno strumento per creare catture di pacchetti che testeranno gli IDS che utilizzano pattern fissi o espressioni regolari per rilevare comportamenti sospetti. Sniffles funziona in modo molto semplice. Prende un insieme di espressioni regolari o regole e sceglie casualmente un'espressione regolare o una regola. Genera quindi contenuti basati su quella regola o espressione regolare. Per stringhe fisse, ciò significa aggiungere la stringa direttamente ai dati (possibilmente con offset o altre opzioni come da regole Snort). Per espressioni regolari il processo è un po' più complesso. L'espressione regolare viene convertita in un NFA e viene scelto un percorso casuale attraverso l'NFA (dall'inizio alla fine). I dati risultanti corrisponderanno all'espressione regolare. Infine, Sniffles può essere impostato per corrispondenza completa o parziale. Con una corrispondenza completa, i dati del pacchetto corrisponderanno assolutamente ad almeno una regola o espressione regolare (alcune opzioni Snort non sono pienamente considerate). Una corrispondenza parziale cancellerà l'ultimo carattere da una sequenza di caratteri corrispondente a una sequenza che non dovrebbe corrispondere (potrebbe però corrispondere a un'altra regola). Le regole corrispondenti dovrebbero causare il maggior carico su un IDS. Quindi, è possibile determinare quanto bene l'IDS gestisce il traffico nel caso peggiore. Il traffico a corrispondenza parziale causerà quasi lo stesso carico del traffico corrispondente. Infine, Sniffles può anche generare traffico che ha dati completamente casuali. Tali dati casuali offrono uno scenario migliore poiché è molto improbabile che i dati casuali corrispondano a qualsiasi regola. Quindi, possono essere elaborati alla massima velocità. Così, Sniffles permette la creazione di catture di pacchetti per il funzionamento nel caso migliore e peggiore dell'ispezione approfondita dei pacchetti IDS.

Oltre a quanto sopra, Sniffles ha anche la capacità di creare catture di pacchetti di valutazione. Esistono due tipi di catture di pacchetti di valutazione. La prima cattura di pacchetti di valutazione creerà esattamente un pacchetto per ogni regola o espressione regolare, in sequenza. Quindi è possibile testare e vedere che ogni regola corrisponde come previsto. La valutazione completa va un passo oltre e crea un pacchetto per ogni possibile ramo in un'espressione regolare. Una singola espressione regolare potrebbe avere migliaia di possibili rami. Questo testa per garantire che tutti i possibili rami di un'espressione regolare siano gestiti correttamente. Le catture di pacchetti di valutazione dovrebbero corrispondere a tutti i pacchetti. Eventuali pacchetti non corrispondenti molto probabilmente rappresentano un fallimento dell'IDS e necessitano di ulteriori indagini. Ovviamente, c'è sempre la possibilità che Sniffles non stia creando il pacchetto corretto per un dato IDS, o non riconosca una particolare opzione per una regola. Controlla le funzionalità delle regole supportate per maggiori informazioni.

Infine, Sniffles può anche fare molto per generare traffico di rete casuale. Per impostazione predefinita, il traffico casuale è TCP, UDP o ICMP e unidirezionale. Tuttavia, può anche generare traffico TCP con ACK, handshake e teardown per ogni flusso. Genererà numeri di sequenza e checksum corretti. Inoltre, gli indirizzi MAC possono essere impostati secondo le distribuzioni desiderate, e gli indirizzi di rete IP possono essere definiti da spazi di indirizzi Home ed External. Inoltre, è possibile simulare scansioni all'interno di una cattura di traffico.

Installazione

RICHIEDE: Python 3.3+ e il modulo SortedContainers

Sniffles consiste nei seguenti file:

• rulereader.py: Il parser per le regole.
• ruletrafficgenerator.py: Lo strumento per generare flussi di contenuto.
• sniffles.py: Il programma principale che gestisce il processo.
• sniffles_config.py: gestisce l'input da riga di comando e le opzioni per Sniffles.
• traffic_writer.py: Scrive un pacchetto in un file compatibile con pcap. Non richiede libpcap.
• vendor_mac_list.py: Contiene gli Identificatori Univoci d'Organizzazione MAC utilizzati per generare indirizzi MAC semi-realistici anziché solo ottetti assemblati casualmente.
• examples/vendor_mac_definition.txt: File opzionale per definire la distribuzione di indirizzi MAC parziali o completi.
• file pcre per pcre (pcre_chartables.c pcre_compile.c pcre_globals.c pcre_internal.h pcre_newline.c pcre_tables.c pcre.h pcrecomp.c pcreconf.py ucp.h).
• nfa.py: per attraversare NFA.
• regex_generator.py: Il codice per generare espressioni regolari casuali.
• rand_rule_gen.py, feature.py e rule_formats.py: moduli per generare insiemi di regole casuali.

Per installare:

1. Vai alla directory principale.
2. Digita python3.x setup.py install.
3. Questo installerà l'applicazione sul tuo sistema.

Note sull'installazione:

1. Non è stato testato con Windows né con Linux. È stato testato su FreeBSD e Mac OS X.
2. Usa python3.x setup.py build per compilare localmente, poi vai nella directory della libreria, trova la lib e usa python3.4 -c "from sniffles import sniffles; sniffles.main()" per eseguire localmente.

Formati supportati:

• Snort: Regole di alert Snort (la regola dovrebbe iniziare con la direttiva Alert). I tag Content sono riconosciuti e analizzati correttamente. I tag PCRE sono anch'essi analizzati correttamente. I tag HTTP vengono elaborati consecutivamente, quindi potrebbero non creare il pacchetto desiderato. Il contenuto (e il contenuto PCRE o HTTP) può essere modificato da distance, within e offset. Una regola può utilizzare un'opzione di controllo del flusso, sebbene da essa venga derivata solo la direzione dei dati. L'opzione nocase viene ignorata e viene utilizzata la lettera maiuscola/minuscola presentata. Tutte le altre opzioni sono ignorate. I valori dell'intestazione vengono analizzati e verrà generato un pacchetto che soddisfa tali valori. Se vengono utilizzati spazi di indirizzi di rete Home ed External, verrà utilizzato lo spazio corretto per le rispettive variabili $HOME_NET e $EXTERNAL_NET. Esempio:

  alert tcp $EXTERNAL_NET any -> $HOME_NET 8080 (msg:"SERVER-APACHE Apache Tomcat UNIX platform directory traversal"; flow:to_server; content:"/..|5C|/"; content:"/..|5C|/"; http_raw_uri;

• Espressioni regolari: Espressioni regolari grezze, una per riga, scritte come abc o /abc/i. Attualmente supporta le opzioni i, s e m. Altre opzioni sono ignorate. Esempio:

  /ab*c(d|e)f/i

• Formato regola Sniffles descritto di seguito.

Opzioni della riga di comando:

• -a TCP Ack: Invia un acknowledgment TCP per ogni pacchetto di dati inviato. Disattivato per impostazione predefinita. I pacchetti di acknowledgment non hanno dati per impostazione predefinita.

• -b Bidirezionale: I dati verranno generati in entrambe le direzioni di un flusso TCP. Gli ACK verranno attivati. Questa funzione è disattivata per impostazione predefinita.

• -B [Protocollo traffico di fondo:Percentuale]: Imposta almeno un protocollo con valore compreso tra 1 e 100 per produrre traffico di fondo. Questo valore rappresenta la percentuale del totale del traffico. Protocolli disponibili: FTP, HTTP, IMAP, POP e SMTP. Ad esempio: "http:20,ftp:30,smtp:10". Inserisci un solo numero come valore dell'argomento per generare traffico casuale. Ad esempio: "80".