Snortのappid_detector_builder.shを使いこなす: OpenAppIDカスタムディテクタ作成ガイド 🕵️‍♂️

appid_detector_builder.sh は、SnortのOpenAppID機能のためのカスタムディテクタを生成するための、シンプルなメニュー駆動型のBashシェルスクリプトです。ユーザーが対話形式でアプリケーション名、説明、プロトコル、検出パターンなどを入力すると、それに基づいて基本的なLua言語のディテクタファイル（.lua）をカレントディレクトリに生成します。

主な目的は以下の通りです：

• 新しい、または非標準のアプリケーションをSnortで識別可能にする。
• 既存のアプリケーションの検出精度を向上させる（例：特定のホスト名パターンを追加する）。
• Luaスクリプトの知識がなくても、簡単なディテクタを作成できるようにする。

このスクリプトは、Snort 2.9.7.0以降、特にSnort 3でOpenAppID機能が導入されてから、カスタムディテクタ作成の手段として提供されています。Snortのソースコードの tools ディレクトリや、Kali LinuxのようなディストリビューションではSnortパッケージの一部として含まれています。

appid_detector_builder.sh を使用する前に、以下の準備と知識が必要です。

• Snortのインストール: Snortがシステムにインストールされている必要があります。Kali Linuxでは、デフォルトでインストールされているか、以下のコマンドで簡単にインストールできます。

  sudo apt update
  sudo apt install snort

  appid_detector_builder.sh スクリプト自体は、通常 Snort のインストールパス内の `tools` ディレクトリや、システムの `PATH` が通った場所（Kali Linux の場合など）に配置されます。
• OpenAppIDの有効化: Snortの設定ファイル（通常 snort.conf または Snort 3 では snort.lua）で、AppIDプリプロセッサが有効になっている必要があります。これには、OpenAppIDディテクタパッケージ（ODP）の場所を指定する設定も含まれます。

  -- snort.lua (Snort 3) の例
  appid =
  {
      -- app_detector_dir を OpenAppID ディテクタがあるディレクトリに設定
      app_detector_dir = '/usr/local/lib/openappid', -- または適切なパス
  
      -- 統計ログを有効にする場合（任意）
      -- app_stats_filename = 'appstats-unified.log',
      -- app_stats_period = 60,
  }

  Snort 2.x の場合は preprocessor appid ディレクティブを使用します。

• カスタムディテクタ用ディレクトリ: Snortがユーザー作成のカスタムディテクタを読み込むための特定のディレクトリ構造が必要です。通常、app_detector_dir で指定したパスの下に custom/lua というディレクトリを作成し、生成された .lua ファイルをそこに配置します。

  # app_detector_dir が /usr/local/lib/openappid の場合
  sudo mkdir -p /usr/local/lib/openappid/custom/lua

• 基本的なネットワーク知識: TCP, UDP, HTTP, SSL/TLS などのプロトコルや、ホスト名、URI、証明書情報（Common Nameなど）に関する基本的な理解があると、効果的なディテクタを作成するのに役立ちます。

appid_detector_builder.sh は、ターミナルから直接実行します。多くの場合、特別なオプションは不要ですが、-h オプションで簡単なヘルプを表示できます。

appid_detector_builder.sh

スクリプトを実行すると、対話形式で以下の情報を順に尋ねられます。

1. AppId string (アプリケーションID文字列):

   作成するディテクタを一意に識別するための名前です。通常はアプリケーション名やサービス名を設定します（例: MyCustomApp, InternalWebService）。

   注意: タブ、バックスラッシュ(\)、アポストロフィ(')、ダブルクォート(") は使用できません。

2. Optional description (任意の説明):

   このディテクタに関する簡単な説明を入力します（例: Detects internal web service X）。省略可能です。

3. Detection Protocol (検出プロトコル):

   どのプロトコルに基づいてアプリケーションを検出するかを選択します。一般的な選択肢は以下の通りです。

   • 1) TCP
   • 2) UDP
   • 3) HTTP
   • 4) SSL (TLS)
   • 5) SIP
   • 6) RTMP
   • 7) First Packet (Snort 3 以降)

   番号で選択します。

4. Pattern Type and Pattern (パターンタイプとパターン):

   選択したプロトコルに応じて、具体的な検出パターンを入力します。

   • HTTPの場合: Host (ホスト名), URI (Uniform Resource Identifier), User-Agent などのパターンを入力します。
   • SSL/TLSの場合: Host (Server Name Indication – SNI), Common Name (証明書のCN), Organizational Unit (証明書のOU) などのパターンを入力します。
   • TCP/UDPの場合: Payload (ペイロード内の特定のバイトシーケンス) などを指定できます。

   例えば、SSLプロトコルでホスト名 example.internal.com を検出したい場合は、プロトコルに `4` (SSL)、パターンタイプに `1` (Host)、パターンに `example.internal.com` と入力します。

5. Additional Protocol or Save (追加プロトコルまたは保存):

   一つのアプリケーションが複数のプロトコルやパターンで検出される場合（例えば、HTTPとHTTPSの両方を使うWebサービス）、追加の検出プロトコルとパターンを入力できます。完了したら、「Save Detector」を選択します。

「Save Detector」を選択すると、最初に指定したアプリケーションID文字列に基づいたファイル名（例: MyCustomApp.lua）で、Luaディテクタファイルが現在のディレクトリに生成されます。もし同名のファイルが既に存在する場合は、上書きするかどうか尋ねられます。

sudo mv YourAppID.lua /path/to/openappid/custom/lua/

社内ネットワークに intranet.example.local というホスト名でアクセスされるHTTPSベースのWebサービスがあり、これをSnortで識別したいとします。

ターミナルを開き、appid_detector_builder.sh を実行します。

[kali@kali ~]$ appid_detector_builder.sh
Snort Application Id - Detector Creation Tool

Enter below, the AppId string to be associated with the Detector.
(e.g. "CNN.com", "Yahoo!", "Avira Download/Update", etc.)
AppId strings MUST NOT INCLUDE tab, backslash, apostrophe, or double-quote.
Enter AppId string: InternalWebApp

Enter its optional description: Internal Corporate Web Application

Detection Protocol:
  1) TCP
  2) UDP
  3) HTTP
  4) SSL
  5) SIP
  6) RTMP
  7) First Packet
Selection: 4

SSL Pattern Type:
  1) Host
  2) Common Name
  3) Organizational Unit
Selection: 1

Enter Host pattern: intranet.example.local

Choose "Save Detector" or choose an additional Detection Protocol:
  0) Save Detector
  1) TCP
  2) UDP
  3) HTTP
  4) SSL
  5) SIP
  6) RTMP
  7) First Packet
Selection: 0

Detector InternalWebApp has been saved to ./InternalWebApp.lua

これで、カレントディレクトリに InternalWebApp.lua というファイルが生成されました。中身は以下のようになっているはずです（内容はバージョンによって若干異なる場合があります）。

-- Generated by appid_detector_builder.sh

appid = {
    name = "InternalWebApp",
    description = "Internal Corporate Web Application",
}

function appid.detect(context, payload)

    local ssl_context = context:get_ssl_context()
    if ssl_context then
        if ssl_context:test_host("intranet.example.local", 0) then
            return context:set_appid(true)
        end
    end

    return context:set_appid(false)
end

この生成された InternalWebApp.lua ファイルを、Snortがカスタムディテクタを読み込むディレクトリ（例: /usr/local/lib/openappid/custom/lua/）にコピーまたは移動します。

sudo mv InternalWebApp.lua /usr/local/lib/openappid/custom/lua/

その後、Snortを再起動するか、設定をリロード（Snort 3 の場合 snort -c snort.lua --reload や実行中のプロセスへのシグナル送信）すると、この新しいカスタムディテクタが有効になります。これで、intranet.example.local へのHTTPSトラフィックが InternalWebApp アプリケーションとして識別されるようになります。🎉

appid_detector_builder.sh で利用可能な主なプロトコルと、それぞれの代表的なパターンタイプをまとめます。

このスクリプトは基本的なディテクタを作成するためのツールであり、より複雑なロジック（複数の条件の組み合わせ、状態管理など）が必要な場合は、生成されたLuaファイルを直接編集するか、LuaのOpenAppID APIドキュメントを参照して手動でコーディングする必要があります。

• ディテクタがロードされない:
  • 生成された .lua ファイルが正しいカスタムディレクトリ（例: /usr/local/lib/openappid/custom/lua/）に配置されているか確認してください。
  • ディレクトリやファイルのパーミッションを確認し、Snortプロセスが読み取れるようにしてください。
  • Snortの設定ファイル（snort.conf / snort.lua）で app_detector_dir が正しく設定され、AppIDプリプロセッサが有効になっているか確認してください。
  • Snortの起動ログやデバッグログに、Luaファイルのロードに関するエラーメッセージが出ていないか確認してください。
• アプリケーションが検出されない:
  • 入力したパターン（ホスト名、URI、証明書情報など）が、実際のトラフィックと完全に一致しているか確認してください。大文字・小文字の区別にも注意が必要です。
  • ネットワークキャプチャツール（例: tcpdump, Wireshark）を使用して、対象アプリケーションのトラフィックを実際に確認し、使用されているプロトコルやパターンを特定してください。
  • 特にHTTPS(SSL/TLS)の場合、SNIが使用されているか、証明書のどのフィールド（CN, OUなど）に目的の情報が含まれているかを確認することが重要です。
  • アプリケーションが複数のプロトコルやホスト名を使用している場合、それらすべてをカバーするパターンを追加する必要があるかもしれません。
• パフォーマンスへの影響:
  • 非常に多くのカスタムディテクタを追加したり、複雑なパターン（特にペイロード検索）を使用したりすると、Snortのパフォーマンスに影響を与える可能性があります。
  • 可能な限り、効率的なパターン（例: SSL/TLSのSNIやHTTPのHostヘッダー）を使用することを検討してください。
• より高度な検出:
  • appid_detector_builder.sh は基本的なディテクタ生成ツールです。より複雑な条件分岐、状態追跡、複数のペイロードパターンの組み合わせなどが必要な場合は、生成されたLuaファイルを直接編集する必要があります。Snortの公式ドキュメントやOpenAppIDのデベロッパーガイドが参考になります。