suricata规则编写-检测ssh爆破攻击

最新推荐文章于 2025-02-22 10:08:54 发布

whime_sakura

最新推荐文章于 2025-02-22 10:08:54 发布

阅读量3.9k

点赞数 4

分类专栏：信息安全

本文链接：https://blog.youkuaiyun.com/whimewcm/article/details/105751126

版权

本文介绍了如何通过Suricata检测SSH爆破攻击。首先利用hydra和tcpdump获取攻击流量包，然后根据SSH协议中新Keys数据包的特征编写Suricata规则。通过flowint关键字设置阈值在KeyCount大于5时触发警告，再通过tcpreplay测试规则有效性。接着讨论了使用threshold关键字跟踪源地址并控制报警次数，以应对多线程攻击。最终，调整规则确保在30秒内超过10次匹配即触发告警。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

步骤：

1. 使用hydra攻击ssh服务器，利用tcpdump 抓包。
2. 编写suricata规则
3. 重放pcap包测试效果。

利用hydra和 tcpdump获取攻击流量包

使用KALI中自带的hydra发起ssh爆破攻击

同时利用tcpdump抓包保存攻击流量

编写suricata规则

ssh 协议交互主要分为三个阶段，传输层协议，用户认证协议，连接协议。在传输层协议中主要完成服务端和客户端之间的ssh版本协商，密钥和算法协商，在该阶段的最后客户端会发送New Keys数据包，表示双反构建了一个加密通道。下图所示为ssh第一阶段的流量交互：
在这里插入图片描述
因此，根据New Keys数据包中总是以0x15和10个字节的0x00结尾的特点，可以标记该类数据包。