snortに関して

質問

snortに関して、２点質問させてください。

設定は、とりあえず、
var HOME_NET any
var EXTERNAL_NET any
で、ルールも明らかに関係ないもの以外は、デフォルトのまま使っています。

まず、現在、iptablesでパケットフィルタリングをしているのですが、snortの走査はフィルタを通過してきたパケットに対してのみ行われるという認識で正しいでしょうか？
もしそうだとすると、２、３のポート以外のsynパケットをフィルタしていても、synフラッグのみのパケットによる単純なポートスキャンを検出しているようなのですが、これはどうしてなのでしょうか。

また、
[**] [117:1:1] (spp_portscan2) Portscan detected from 111.222.333.xxx: 6 targets 6 ports in 12 seconds [**]
07/22-12:35:44.814374 111.222.333.xxx:2525 -> 123.123.123.123:8801
TCP TTL:127 TOS:0x0 ID:42156 IpLen:20 DgmLen:48 DF
******S* Seq: 0x3CA0BCCF Ack: 0x0 Win: 0xFAF0 TcpLen: 28
TCP Options (4) => MSS: 1412 NOP NOP SackOK

alertファイルに上記のようなログがでるのですが、いつも、fromに書かれたアドレスが、自分のアドレスなのです。これはどうしてでしょうか。
もし、alertファイルの各項目の見方が解説されたページがあれば是非教えてください。

よろしくお願いします。

回答No.1

日吉 龍（@VDSL） · ベストアンサー

まず1点目ですが、iptablesでフィルタをしているか否かはまったく関係ありません。
もっと極端な話をすると、NICにIPアドレスが割り当てられていなくても、Snortはパケットをキャプチャできます。

2点目ですが、例の中の"111.222.333.xxx"が自ホストのIPアドレスということですよね。
"6 targets 6 ports in 12 seconds"と書かれていますが、12秒の間に6ホストの6ポートに対するアクセスがあったため、ポートスキャンとみなされたようです。

それぞれ別々の接続先に繋がるネットワークアプリケーションを多数立ち上げて、それらを同時に利用すればこれらの状況が発生すると思いますが、そのような使い方をしていませんでしょうか？

あまりにこのアラートが多く出るようでしたら、ルールの修正や無効化を考えたほうがいいかもしれません。

参考ページですが、いろいろ見てもやはり英語の公式マニュアルが一番わかりやすいので、まずはそちらを参照してみてはいかがでしょうか。

お礼

遅くなって申し訳ありません。解答ありがとうございました。
２点目に関してですが、知り合いのサーバからポートスキャンした場合も、fromとtoが逆に載ってしまうのです。もう少し自分で調べてみます。