CustomOS3.1 OBSIDIAN
Сетевая IDS
Устанавливается по умолчанию в чистом режиме IDS: Suricata копирует трафик и никогда не решает судьбу пакета.
Режим
IDS (af-packet)
copy-mode none · только обнаружение
Правила
5 локальных
sid 1000001–1000005
ET-open
Не загружено
opt-in: customos-nids rules update
| Локальное правило | Обнаруживает |
|---|---|
| 1000001 | DNS-запрос к неавторизованному резолверу |
| 1000002 | Учётные данные FTP в открытом виде |
| 1000003 | HTTP Basic Auth в открытом виде |
| 1000004 | Исходящий сеанс Telnet |
| 1000005 | Большая полезная нагрузка ICMP (возможен туннель / C2) |
customos-nids mode ips [--fail-open|--fail-closed]
блокировка в потоке через NFQUEUEcustomos-nids correlate --since 1h
объединяет события Suricata, auditd и AIDEобнаружение происходит постфактум, если не включить opt-in для IPS