ARAKIS

Szczególy klastra: SMB Initiation (port 139/445/TCP)

Nazwa:	SMB Initiation (port 139/445/TCP)
Data:	2006-11-15 12:30:50
Poziom klasyfikacji:	Normal
Rdzeń:	f9dc4a724a268dc50f599d91414a25a8
Porty:	139/TCP , 445/TCP
Unikalnych źródeł:	984
Rozmiar sygnatury:	119
Sygnatura klastra:
alert tcp $EXTERNAL_NET any -> $HOME_NET 139,445 (msg:"SMB Initiation (port 139/445/TCP)"; flow:to_s\ erver,established; content:"\|ff\|SMBr\|00 00 00 00 18\|S\|c8\|"; content:"\|00 00 00 00 00 00 00 00 00 00 \ 00 00 00 00\|"; content:"\|02\|PC NETWORK PROGRAM 1.0\|00 02\|LANMAN1.0\|00 02\|Windows for Workgroups 3.1a\ \|00 02\|LM1.2X00"; content:"T LM 0.12\|00\|";)

Publiczne strony ARAKISa zawierają jedynie zbiorcze statystyki dotyczące klastra. Każdy klaster posiada nazwę, poziom klasyfikacji, listę portów których dotyczy, liczbę unikalnych źródłowych IP wysyłających dane o podobnej charakterystyce, wielkość końcowej sygnatury i końcową „super” sygnaturę klastra wyrażoną w postaci regułki snort. Sygnatura ta jest wspólna dla wszystkich przepływów tworzących klaster i jest potencjalnie sygnaturą nowego zagrożenia np. exploita lub robaka.