ARAKIS

Szczególy klastra: MSSQL Probe port 1433/TCP (Spida Worm?)

Nazwa:	MSSQL Probe port 1433/TCP (Spida Worm?)
Data:	2006-11-17 12:30:30
Poziom klasyfikacji:	Attack
Rdzeń:	MSSQL Probe port 1433/TCP (Spida Worm?)
Porty:	1433/TCP
Unikalnych źródeł:	109
Rozmiar sygnatury:	29
Sygnatura klastra:
alert tcp $EXTERNAL_NET any -> $HOME_NET 1433 (msg:"MSSQL Probe port 1433/TCP (Spida Worm?)"; flow:\ to_server,established; content:"\|12 01 00\|)\|00 00 00 00 00 00 15 00 06 01 00 1b 00 01 02 00 1c 00 01\ 03 00 1d 00 04 ff\|";)

Publiczne strony ARAKISa zawierają jedynie zbiorcze statystyki dotyczące klastra. Każdy klaster posiada nazwę, poziom klasyfikacji, listę portów których dotyczy, liczbę unikalnych źródłowych IP wysyłających dane o podobnej charakterystyce, wielkość końcowej sygnatury i końcową „super” sygnaturę klastra wyrażoną w postaci regułki snort. Sygnatura ta jest wspólna dla wszystkich przepływów tworzących klaster i jest potencjalnie sygnaturą nowego zagrożenia np. exploita lub robaka.