Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Snort OpenAppID RULES detectors md5 download failed

    Scheduled Pinned Locked Moved Russian
    15 Posts 3 Posters 1.5k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • A
      AFZ
      last edited by

      @werter:

      Доброе.
      Подписку на загрузку правил snort оформили?

      Приветствую.
      Да, Oinkmaster Code получил, указан в настройках Snort. Не подгружаются только правила из Snort OpenAppID RULES Detectors, а Snort OpenAppID Detectors без проблем обновляются.

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Доброе.
        Сразу же в гугле по Snort OpenAppID RULES detectors md5 download failed

        https://forum.pfsense.org/index.php?topic=125749.0
        https://forum.pfsense.org/index.php?topic=123775.0
        https://forum.pfsense.org/index.php?topic=114960.0

        1 Reply Last reply Reply Quote 0
        • A
          AFZ
          last edited by

          @werter:

          Доброе.
          Сразу же в гугле по Snort OpenAppID RULES detectors md5 download failed

          https://forum.pfsense.org/index.php?topic=125749.0
          https://forum.pfsense.org/index.php?topic=123775.0
          https://forum.pfsense.org/index.php?topic=114960.0

          Видел эти посты, у меня несколько другая проблема ведь: Resolving timed out after 15580 milliseconds. Сейчас включил препроцессор сканирования портов в настройках Snort, и сейчас даже лог обновлений не пишется. Неужели у всех без проблем подгружается данный рулсет? Сможете у себя установить пакет и попробовать просто подгрузить рулсет этот? Пойму, если не возникнет такого желания

          1.jpg
          1.jpg_thumb
          2.jpg
          2.jpg_thumb

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Может pfblocker мешает?

            А чем suricata не устроила ? Пользую ее 2 года почти.

            1 Reply Last reply Reply Quote 0
            • A
              AFZ
              last edited by

              @werter:

              Может pfblocker мешает?

              А чем suricata не устроила ? Пользую ее 2 года почти.

              Возможно и сам pfBlockerNG блочит, отключал все авторулы созданные на основе алиасов по странам на WAN интерфейсе, все равно не помогло. Интересно, что трассировка с самого PF до s3.amazonaws.com проходит за 15 хопов и за 161.313 мс. По логике если бы pfBlockerNG блочил, то трассировка не шла, или он блочит не домен, а именно ip нужные…, хотя хост опять же резольвится нормально. Знать бы точно откуда прогружаются рулсеты.
              Ну а почему Хрюша, а не Шурик ))) Не знаю, не до мук с выбором было, центральный филиал нагнули атаками, и долбили порядка 3 месяцев, поэтому нужны были контрмеры и выбирать было некогда. Кстати, Шурик вроде бы не работает с какими то рулсетами от Snort'а или уже допилили?

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                Доброе.
                Suicata с самого своего появления пользовала и\или свои правила и\или правила snort. Люди не велосипедят. И правильно делают.

                1 Reply Last reply Reply Quote 0
                • P
                  PbIXTOP
                  last edited by

                  @AFZ:

                  Возможно и сам pfBlockerNG блочит, отключал все авторулы созданные на основе алиасов по странам на WAN интерфейсе, все равно не помогло. Интересно, что трассировка с самого PF до s3.amazonaws.com проходит за 15 хопов и за 161.313 мс. По логике если бы pfBlockerNG блочил, то трассировка не шла, или он блочит не домен, а именно ip нужные…, хотя хост опять же резольвится нормально

                  Стандартные правила обычно разрешают любые исходящие соединения с самого pfsense.

                  1 Reply Last reply Reply Quote 0
                  • A
                    AFZ
                    last edited by

                    @werter:

                    Доброе.
                    Suicata с самого своего появления пользовала и\или свои правила и\или правила snort. Люди не велосипедят. И правильно делают.

                    Значит попробую на следующем шлюзе обкатать Шурика. Ставил Сурикату на 2.2.6 релизе PF, насколько я помню, и там не было поддержки каких-то рулсетов Snort, гуглом выходил на эту ветку https://forum.pfsense.org/index.php?topic=83548.0

                    1 Reply Last reply Reply Quote 0
                    • A
                      AFZ
                      last edited by

                      @PbIXTOP:

                      @AFZ:

                      Возможно и сам pfBlockerNG блочит, отключал все авторулы созданные на основе алиасов по странам на WAN интерфейсе, все равно не помогло. Интересно, что трассировка с самого PF до s3.amazonaws.com проходит за 15 хопов и за 161.313 мс. По логике если бы pfBlockerNG блочил, то трассировка не шла, или он блочит не домен, а именно ip нужные…, хотя хост опять же резольвится нормально

                      Стандартные правила обычно разрешают любые исходящие соединения с самого pfsense.

                      Соглашусь, но из локальной сети результат аналогичен, в моем случае, проверил (((

                      1 Reply Last reply Reply Quote 0
                      • A
                        AFZ
                        last edited by

                        Поставил для обкатки Сурикату на PF 2.2.6, если не сложно поделитесь наработками, интересует набор отключенных правил в рулсетах, чтобы подгрузить в SID State Management. Хотелось бы лично ваши с минимальными комментами, по англоязычным веткам уже пробежался.

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          Доброе.
                          Тут только сугубо индивидуально. Я вкл. все на WAN-ах и если что-то неккоректно блокировалось в моем случае - просто анализировал и откл.

                          Т.е. сурикату, как и люб. др IDPS нужно обучать некоторое время.

                          1 Reply Last reply Reply Quote 0
                          • A
                            AFZ
                            last edited by

                            Итак, обновил пакет Snort до версии 3.2.9.5. И видимо получил ответ на свой вопрос. Прямо под чекбоксом "Enable RULES OpenAppID" идет заметка, что правила поддерживаются волонтером, в частности каким-то Университетом в Бразилии, у которого сеть имеет фильтр GEO-IP и видимо, Россия залочена по диапазону адресов. Так же указана ссылка, видимо для проверки, у меня она не работает. Получается, pfBlockerNG не при чем.

                            Скрин.jpg
                            Скрин.jpg_thumb

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              2 AFZ
                              Доброе.
                              Если это подсластит пилюлю, то не только из России нет доступа.

                              1 Reply Last reply Reply Quote 0
                              • First post
                                Last post
                              Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.