Hogger automatise la création des tables d'attributs Snort à partir des scans Nmap

Par Xavier Poli, secuobs.com
Le 16/03/2010

---

Résumé : Hogger est un nouvel outil en Perl qui vise à automatiser la création des tables d'attributs spécifiques à Snort. Les fichiers XML en résultant sont ainsi créés à partir des résultats en sortie d'un scan Nmap. - Lire l'article



Depuis la version 2.8.1, Snort ( lien ) permet de spécifier les tables d'attributs ( lien ) qui vont être chargées lors du démarrage. Ces tables contiennent des données critiques, provenant de sources externes, qui vont faciliter la compréhension de la topologie d'un réseau. Elles sont par ailleurs présentées sous la forme de fichiers XML qui comprennent deux sections distinctes.

Alors que la première section, optionnelle, vise à réduire la taille de ces fichiers en regroupant les éléments communs, la seconde s'attèle quant à elle aux attributs propres aux différents hôtes. On y retrouve des informations détaillées et spécifiques aux systèmes d'exploitation, services et applications client recensés. De plus, chaque hôte est ici identifié par son adresse IP.

Ces informations vont aider Snort à réduire ses taux d'erreurs en optimisant le choix des pré-processeurs à utiliser, pour chaque règle, via une meilleure détermination des protocoles et des polices de fragmentation IP et de ré-assemblage des flux TCP en présence. Hogger est lui un programme Perl automatisant la création de ces tables à partir des résultats d'un scan Nmap ( lien ).

A savoir que Hogger est compatible avec la plupart des systèmes d'exploitation acceptant l'exécution de scripts Perl. Par ailleurs, la logique fonctionnelle de Hogger ne lui permet pas de traiter les hôtes identifiés par un nom de domaine type FQDN. Il est donc nécessaire de spécifier à Nmap que l'on ne souhaite pas la résolution DNS pour les résultats en sortie.

Site officiel ( lien )

Source : Comptes Twitter @mosesrenegade @JoelEsler ( lien )