SNORT: Reputation Preprocessor - Revision history

Onnowpurbo: /* Pulledpork Install */

2023-07-10T00:07:39Z

Pulledpork Install

Onnowpurbo: /* Setting local.rules untuk Alert saat ada event Blacklist */

2023-07-09T08:22:15Z

Setting local.rules untuk Alert saat ada event Blacklist

Onnowpurbo: /* Setting up local.rules to Generate Alerts for Blacklist Events */

2023-07-09T08:22:05Z

Setting up local.rules to Generate Alerts for Blacklist Events

Onnowpurbo: /* Configuring IP List Actions and Precedence */

2023-07-09T00:38:18Z

Configuring IP List Actions and Precedence

Onnowpurbo: /* Pulledpork Install */

2023-07-09T00:31:50Z

Pulledpork Install

Onnowpurbo: /* PulledPork dan Blacklist */

2023-07-09T00:28:47Z

PulledPork dan Blacklist

Onnowpurbo: /* PulledPork dan Blacklist */

2023-07-09T00:21:00Z

PulledPork dan Blacklist

Onnowpurbo: /* PulledPork dan Blacklist */

2023-07-09T00:16:10Z

PulledPork dan Blacklist

Onnowpurbo: /* PulledPork dan Blacklist */

2023-07-09T00:07:57Z

PulledPork dan Blacklist

Onnowpurbo: /* Allowing Local IP Addresses */

2023-07-08T23:58:48Z

Allowing Local IP Addresses

@@ Line 214: / Line 214: @@
 ==Pulledpork Install==
-Bagi anda yang berlangganan oinkcode bisa akses Pulledpork untuk memperoleh IP address yang di black list
+'''WARNING:''' PulledPork tidak di rekomendasikan bagi mereka yang tidak berlangganan oinkcode. Bagi anda yang berlangganan oinkcode bisa akses Pulledpork untuk memperoleh IP address yang di black list
 Instal aplikasi pendukung

@@ Line 116: / Line 116: @@
 Edit local.rules, masukan rule berikut,
   alert ( msg: "REPUTATION_EVENT_BLACKLIST"; sid: 1; gid: 136; rev: 1; metadata: rule-type preproc ; classtype:bad-unknown; )
@@ Line 203: / Line 202: @@
 jika keduanya benar, mulailah melihat alamat IP Anda untuk memverifikasi bahwa semuanya benar. Jika Anda menggunakan alamat IP pribadi (seperti 10.x.x.x), ingatlah bahwa Anda harus mengaktifkan scan_local di reputation preprocessor.
 ==Understanding nested_ip==

@@ Line 111: / Line 111: @@
      ...
-==Setting up local.rules to Generate Alerts for Blacklist Events==
+==Setting local.rules untuk Alert saat ada event Blacklist==
-If you are not using PulledPork to manage your rulesets, and have manually configured your whitelists and / or blacklists, you need to tell Snort to generate an alert when it sees packets that match these IP lists.
+Jika Anda tidak menggunakan PulledPork untuk mengelola ruleset, dan telah mengonfigurasi white list dan/atau black list secara manual, Anda perlu memberi tahu Snort untuk membuat Alert ketika melihat paket yang match dengan list IP ini.
   alert ( msg: "REPUTATION_EVENT_BLACKLIST"; sid: 1; gid: 136; rev: 1; metadata: rule-type preproc ; classtype:bad-unknown; )
   alert ( msg: "REPUTATION_EVENT_WHITELIST"; sid: 2; gid: 136; rev: 1; metadata: rule-type preproc ; classtype:bad-unknown; )
-NOTE: if you are using PulledPork to manage rules, you don’t need the above lines, it will add these rules automatically.
+CATATAN: Bagi pengguna PulledPork, kita tidak perlu rule di atas, karena semua akan secara automatis di set oleh PulledPork.
-Rules with GID 136 are rules triggered by the reputation preprocessor. There are 3 SID’s for that processor:
+Rules dengan GID 136 adalah rules yang di trigger oleh reputation preprocessor. Ada tiga 3 SID dari processor:
-    Packets are blacklisted
+Packet adalah blacklist
-    Packets are whitelisted
+Packet adalah whitelist
-    Packets are inspected
+Packet inspected
-We don’t want to create a rule with a SID of 3 because that would be a lot of alerts (essentially all packets).
+Kita tidak membuat rule dengan SID 3 karena ini akan membuat banyak Alert, karena pada dasarnya semua packet adalah inspected.
-There is an easy way to test the reputation processor works. First, make sure your reputation preprocessor is properly configured, and you have the two rules listed above in your local.rules file (and make sure that Snort is loading your local.rules).
+Ada cara mudah untuk menguji kerja reputation processor. Pertama, pastikan reputation processor dikonfigurasi dengan benar, dan Anda memiliki dua aturan yang tercantum di atas dalam file local.rules Anda (dan pastikan Snort memuat local.rules Anda).
-Next, add the IP address of a second host on your network (other than your snort host) to your black_list.rules file. This IP address will be the address that Snort generates alerts on, due to the IP address being in the blacklist file.
+Selanjutnya, tambahkan alamat IP host kedua di jaringan Anda (selain host snort Anda) ke file black_list.rules. Alamat IP ini akan menjadi alamat di mana Snort menghasilkan peringatan, karena alamat IP ada di file black list.
   sudo /usr/local/bin/snort -A console -q -c /etc/snort/snort.conf -i eth0
-If you now ping your Snort server from the system that is in your blacklist, you should see alerts display on the console. Use Ctrl-C to stop Snort from running. In the example below, the first alert is from me ssh-ing into the Snort server from the blacklisted computer. Next I pinged the Snort server 8 times, then used wget to try to pull a webpage from the Snort server:
+Jika sekarang Anda melakukan ping ke server Snort Anda dari sistem yang ada di black list, Anda akan melihat tampilan Alert di konsol. Gunakan Ctrl-C untuk menghentikan Snort berjalan. Pada contoh di bawah ini, peringatan pertama adalah dari ssh ke server Snort dari komputer yang masuk black list. Selanjutnya saya melakukan ping ke server Snort 8 kali, lalu menggunakan wget untuk mencoba menarik halaman web dari server Snort:
 /09-20:25:10.423907  [**] [136:1:1] (spp_reputation) packets blacklisted [**] [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 10.0.0.72:51312 -> 10.0.0.101:22
@@ Line 150: / Line 153: @@
 /09-20:25:18.355319  [**] [136:1:1] (spp_reputation) packets blacklisted [**] [Classification: Potentially Bad Traffic] [Priority: 2] {ICMP} 10.0.0.105 -> 10.0.0.101
 /09-20:25:26.194898  [**] [136:1:1] (spp_reputation) packets blacklisted [**] [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 10.0.0.101:52671 -> 10.0.0.105:80
-^C*** Caught Int-Signal
+ ^C*** Caught Int-Signal
-If you are wondering how I’m able to remote into the server from a blacklisted host, remember that we have configured Snort as an IDS (intrusion detection system), it only detects and alerts for malicious traffic. We have not configured Snort as an IPS (intrusion prevention system). More information on running Snort as an IPS here.
+Jika Anda bertanya-tanya bagaimana kita dapat melakukan remote ke server dari host yang masuk black list, ingatlah bahwa kita telah mengonfigurasi Snort sebagai IDS (Intrusion Detection System), Snort hanya mendeteksi dan memberi Alert untuk lalu lintas berbahaya. Kita belum mengonfigurasi Snort sebagai IPS (Intrusion Prevention Sistem).
-If you don’t see any alerts like above, run the below command to test your snort.conf,
+Jika Anda tidak melihat peringatan seperti di atas, jalankan perintah di bawah ini untuk menguji snort.conf Anda,
   sudo snort -T -c /etc/snort/snort.conf -i eth0
-If Snort verifies the configuration file successfully (indicated in the final few lines of output), then scroll up through the output up to see if any IP addresses show in the reputation portion of the output (see line 6 below for our one IP address loaded from the blacklist file):
+Jika Snort berhasil memverifikasi file konfigurasi (ditunjukkan dalam beberapa baris terakhir keluaran), lalu gulir ke atas melalui keluaran untuk melihat apakah ada alamat IP yang ditampilkan di bagian reputasi keluaran (lihat baris 6 di bawah untuk satu alamat IP kami dimuat dari file black list):
   Reputation config:
@@ Line 176: / Line 180: @@
           Shared memory is Not supported.
-You will also want to verify that our two rules (from local.rules) have loaded in the rules section of the output (note that they are recognized as preprocessor rules):
+Anda juga ingin memverifikasi bahwa dua aturan (dari local.rules) telah dimuat di bagian aturan keluaran (perhatikan bahwa aturan tersebut dikenali sebagai preprocessor rules):
   +++++++++++++++++++++++++++++++++++++++++++++++++++
@@ Line 197: / Line 202: @@
   +----------------------------------------------------------------------------
-if both of those are correct, start looking at your IP addresses to verify that you have everything correct. If you are using private IP addresses (like 10.x.x.x) then remember that you need to enable scan_local in the reputation preprocessor.
+jika keduanya benar, mulailah melihat alamat IP Anda untuk memverifikasi bahwa semuanya benar. Jika Anda menggunakan alamat IP pribadi (seperti 10.x.x.x), ingatlah bahwa Anda harus mengaktifkan scan_local di reputation preprocessor.
-==Understanding nested_ip--
+Paket sering di enkapsulasi dalam paket lain, seperti GRE atau IP di IP tunnel. Jika Snort dapat melihat informasi header IP dari paket enkapsulasi (internal), Anda dapat memilih untuk membandingkan paket dalam, paket luar, atau header IP dalam dan luar terhadap list IP yang ada, dengan men-set opsi nested_ip ke salah satu dari yang berikut : dalam, luar, atau keduanya, yang memberi tahu reputation preprocessor untuk memeriksa alamat IP dalam, alamat IP luar, atau untuk memeriksa kedua alamat IP (baik dalam maupun luar). Salah satu contohnya di bawah ini:
   preprocessor reputation: \

@@ Line 95: / Line 95: @@
 Opsi ini memungkinkan Anda menguji Reputation Preprocessor dengan alamat private (peringatan lalu lintas dari subnet 10.0.0.0/24 misalnya). Tanpa opsi ini, semua alamat IP dalam daftar IP Anda dari alamat private tidak akan dibandingkan dengan list IP.
-==Configuring IP List Actions and Precedence==
+==Konfigurasi IP List Tindakan dan Prioritas==
-The two reputation preprocessor configuration options that determine how IP lists affect the processing of packets are priority and white.
+Dua opsi konfigurasi reputation preprocessor yang menentukan effek IP list pada pemrosesan paket adalah priority dan white.
   preprocessor reputation: \
      priority whitelist, \
      ...
-white: this option can be set to either unblack or trust. When set to unblack, if the packet also has an address that is in the IP blacklist (say the source IP address is in the whitelist and the destination ip address of that same packet is in the blacklist), then the packet will continue to process through the other preprocessors as if it was not on the blacklist. Note that for the packet to continue to be processed, the priority must be set to whitelist. When white is set to trust, then the packet is implicitly trusted and bypasses all further processing. An example of this:
+* white: opsi ini dapat diatur ke unblack atau trust. Ketika diatur ke unblack, jika paket juga memiliki alamat yang ada di black list IP (misalkan alamat IP sumber ada di white list dan alamat ip tujuan dari paket yang sama ada di black list), maka paket akan terus diproses melalui preprosesor lain seolah-olah tidak ada dalam black list. Perhatikan bahwa agar paket dapat terus diproses, prioritas harus ditetapkan ke black list. Ketika white di set ke trust, maka paket dipercaya secara implisit dan melewati semua pemrosesan lebih lanjut. Contohnya:
   preprocessor reputation: \

@@ Line 208: / Line 208: @@
 ==Pulledpork Install==
 Instal aplikasi pendukung
@@ Line 234: / Line 236: @@
   sudo vi /etc/snort/pulledpork.conf
 ==PulledPork dan Blacklist==

@@ Line 238: / Line 238: @@
 ==PulledPork dan Blacklist==
-PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.
+Ubah path directory rules,
-  rule_path=/usr/local/etc/snort/rules/snort.rules
+  # but still keeping a separate file for your so_rules!
-Menjadi
+ # rule_path=/usr/local/etc/snort/rules/snort.rules
   rule_path=/etc/snort/rules/snort.rules
-Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
+Selanjutnya, memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
   # pulledpork.conf - Line 24

← Older revision		Revision as of 00:21, 9 July 2023
Line 242:		Line 242:

	PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.		PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.
		+
		+	Pertama ubah path directory rules, dari,
		+
		+	rule_path=/usr/local/etc/snort/rules/snort.rules
		+	Menjadi
		+	rule_path=/etc/snort/rules/snort.rules
		+

	Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:		Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:

@@ Line 243: / Line 243: @@
 PulledPork dapat secara otomatis mengunduh black list (tetapi bukan white list), dan dikonfigurasi untuk melakukannya secara default. Saat mengonfigurasi pullpork.conf (biasanya terletak di /etc/snort/), Anda harus mengonfigurasi baris berikut dengan benar.
-Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Talos, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
+Pertama kita perlu memberi tahu PulledPork black list IP mana yang akan diunduh. Secara default kita mengunduh black list Snort, yang ditemukan di baris 24 dari pullpork.conf. Tidak ada perubahan yang diperlukan pada baris ini, karena diaktifkan secara default:
   # pulledpork.conf - Line 24
-  rule_url=http://talosintel.com/feeds/ip-filter.blf|IPBLACKLIST|open
+  # rule_url=http://talosintel.com/feeds/ip-filter.blf|IPBLACKLIST|open
 Baris 141 di PulledPork.conf menunjuk ke file lokal tempat Anda akan menyimpan black list yang Anda unduh. Ini akan menjadi file yang sama yang Anda konfigurasikan di reputation preprocessor dengan arahan: BLACK_LIST_PATH di snort.conf. Di sinilah PulledPork akan menulis black list ke:
   # pulledpork.conf - Line 141
   black_list=/etc/snort/rules/iplists/black_list.rules
@@ Line 256: / Line 261: @@
   # pulledpork.conf - Line 150
   IPRVersion=/etc/snort/rules/iplists

@@ Line 73: / Line 73: @@
 .0.0.0/4 # tambahkan seluruh subnet multicast ke daftar ini
-==Allowing Local IP Addresses==
+==Mengijinkan Local IP Address==
 .0.0.0 – 10.255.255.255 (10.0.0.0/8)
@@ Line 81: / Line 82: @@
 .168.0.0 – 192.168.255.255 (192.168.0.0/16)
-then add the scan_local option to the reputation preprocessor, as show below in line 6:
+tambahkan opsi scan_local dalam konfigurasi reputation preprocessor, seperti tampak di bawah ini,
   # Reputation preprocessor. For more information see README.reputation
@@ Line 92: / Line 93: @@
      blacklist $BLACK_LIST_PATH/black_list.rules
-This option allows you to test the reputation preprocessor with private addresses (alert on traffic from the 10.0.0.0/24 subnet for example). Without this option, all IP addresses in your IP lists from a private address will be not be compared against the IP lists.
+Opsi ini memungkinkan Anda menguji Reputation Preprocessor dengan alamat private (peringatan lalu lintas dari subnet 10.0.0.0/24 misalnya). Tanpa opsi ini, semua alamat IP dalam daftar IP Anda dari alamat private tidak akan dibandingkan dengan list IP.
 ==Configuring IP List Actions and Precedence==