Автоматическое определение наличия у юзера вируса с помощью flow-tools

[hiller]

Поделитесь опытом, автоматического определение наличия у юзера вирусов с помощью flow-tools?

Слышал, что некоторые именно так их определяют. Или может есть более лучший способ?

[UglyAdmin]

Да не вопрос: устанавливает более, допустим, 50 соединений в минуту по tcp/25 - спамер, отстреливать.

Устанавливает более, к примеру, 5000 соединений в минуту пофиг с чем - сканер, это у него зверушка размножаться пытается.

Ну и в том же духе.

Достаточно автоматически отстреливать спамеров, и членов ботнетов в вашей сети практически гарантированно не будет.

[jab]

Способ-то есть, отлов пакетов realtime по сигнатурам на GPU. Например gnort. Но все это пока в зачаточном состоянии.

[hiller]

Спасибо. Попробую написать правила для flow-report и за одно гляну на gnort...

[hiller]

Оказалось все проще:

The flow-dscan utility is used to detect suspicious activity such as port scanning, host scanning, and flows with unusually high octets or packets. A source and destination suppress list is supported to help prevent false alarms due to hosts such as nameservers or popular web servers that exchange traffic with a large number of hosts. Alarms are logged to syslog or stderr. The internal state of flow-dscan can be saved and loaded to allow for interrupted operation.

[jab]

Спасибо. Попробую написать правила для flow-report и за одно гляну на gnort...

Сначала гляньте на snort. :-)

[hiller]

Современный я не видел, гляну. Спасибо за совет.