ARAKIS

Szczególy klastra: NETBIOS SMB Initiation (445/TCP)

Nazwa:	NETBIOS SMB Initiation (445/TCP)
Data:	2006-11-15 12:31:23
Poziom klasyfikacji:	Normal
Rdzeń:	34655f8572cb808857e1e9520482eee8
Porty:	445/TCP
Unikalnych źródeł:	651
Rozmiar sygnatury:	168
Sygnatura klastra:
alert tcp $EXTERNAL_NET any -> $HOME_NET 445 (msg:"NETBIOS SMB Initiation (445/TCP)"; flow:to_server\ ,established; content:"\|00 00 00 a4 ff\|SMBs\|00 00 00 00 18 07 c8 00 00 00 00 00 00 00 00 00 00 00 00\ 00 00 ff fe 00 00 10 00 0c ff 00 a4 00 04 11 0a 00 00 00 00 00 00 00\| \|00 00 00 00 00 d4 00 00 80\|i\ \|00\|NTLMSSP\|00 01 00 00 00 97 82 08 e0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00\|W\|00\|i\|00\|\ n\|00\|d\|00\|o\|00\|w\|00\|s\|00\| \|00\|2\|00\|0\|00\|0\|00\|0\|00\| \|00\|2\|00\|1\|00\|9\|00\|5\|00 00 00\|W\|00\|i\|00\|n\|00\|d\|00\ \|o\|00\|w\|00\|s\|00\| \|00\|2\|00\|0\|00\|0\|00\|0\|00\| \|00\|5\|00\|.\|00\|0\|00 00 00 00 00\|";)

Publiczne strony ARAKISa zawierają jedynie zbiorcze statystyki dotyczące klastra. Każdy klaster posiada nazwę, poziom klasyfikacji, listę portów których dotyczy, liczbę unikalnych źródłowych IP wysyłających dane o podobnej charakterystyce, wielkość końcowej sygnatury i końcową „super” sygnaturę klastra wyrażoną w postaci regułki snort. Sygnatura ta jest wspólna dla wszystkich przepływów tworzących klaster i jest potencjalnie sygnaturą nowego zagrożenia np. exploita lub robaka.