Leer una firma de red

2 tareas · 40 min · Principiante

0 de 2 · 0%

Una firma de red típica (alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"..."; flow:to_server,established; content:"/admin.php"; nocase; sid:2000001;)) contiene acción, cabecera (protocolo, IPs, puertos) y opciones de regla. El cazador debe evaluar si los contenidos buscados son demasiado cortos (pocos bytes generan falsos positivos masivos) o si especifican modificadores de normalización (http_uri, http_client_body).

Responde para continuar

Al analizar una firma de red con modificadores 'content', ¿por qué es peligroso utilizar patrones de menos de 4 bytes sin contexto adicional?

Obliga al cortafuegos a cerrar todas las conexiones de la red corporativa Genera un volumen masivo de falsos positivos al coincidir aleatoriamente con cualquier flujo de datos Modifica las cabeceras IP alterando el enrutamiento de los paquetes Hace que el motor IDS descarte permanentemente los paquetes sin inspeccionar

Ver pista de ayuda

Cadenas muy cortas coinciden por azar en flujos binarios legítimos.

En la tabla yara_signatures, comprueba el valor de performance_cost registrado para la regla generic_packed_executable.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el costo de rendimiento (performance_cost) para generic_packed_executable?

Ver pista de ayuda

Observa el valor de la columna performance_cost en la segunda fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Repositorio y Evaluador de Reglas de Detección · Sigma & YARA Catalog

Sigma Engine (pySigma) / YARA Rule Verifier

Tablas

sigma_rules

rule_id
title
status
level
target_logsource
fp_rate_tested
license

yara_signatures

signature_id
rule_name
scope
strings_count
performance_cost

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Estructura de firmas en motores Snort y Suricata

2 Costo de rendimiento de la regla YARA en disco Lab

Whoami-Labs Pro utiliza cookies