FC ConcursosFC Concursos

Questão FC375629

No Snort regras são simples e escritas de forma direta. No entanto, são poderosas o suficiente para detectar uma ampla variedade de tráfego suspeito. Sobre a regra Snort apresentad

Recursos e Ferramentas de Segurança da Informação

Instituto Consulplan · 2023

No Snort regras são simples e escritas de forma direta. No entanto, são poderosas o suficiente para detectar uma ampla variedade de tráfego suspeito. Sobre a regra Snort apresentada a seguir, assinale a afirmativa correta.

 

alert tcp $EXTERNAL_NET any -> $HOME_NET any\

(msg:“SCAN SYN FIN” flags: SF, 12;\

reference: arachnids, 198; classtype: attemp;)

  1. Detecta o ataque SYN-FIN.
  2. Detecta ataques de portas origem e destino específicas.
  3. A opção reference indica o tipo de ataque a ser detectado.
  4. Considera o primeiro e segundo bits reservados no octeto dos marcadores (flags) do TCP.
Mostrar resposta e comentário

Gabarito

A

Comentário do professor

A regra dispara um alerta para pacotes TCP que chegam de $EXTERNAL_NET para $HOME_NET quando os sinais de controle do TCP correspondem a um padrão anômalo.

O trecho flags: SF indica que a regra exige os bits SYN e FIN simultaneamente setados no cabeçalho TCP. Isso é incomum em conexões legítimas, pois SYN inicia uma conexão e FIN a encerra.

Pacotes com SYN e FIN juntos são usados em varreduras e técnicas de evasão/ataque (conhecidas como SYN‑FIN) para mapear portas ou confundir pilhas TCP. Assim, quando a condição é atendida, o Snort gera o msg "SCAN SYN FIN".

Em suma: a regra identifica pacotes TCP com os sinais SYN e FIN combinados, detectando tentativas de varredura/ataque do tipo SYN‑FIN.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo