détection de tunnel icmp avec snort

[Diody]

bonjour,

je cherche si il y a moyen de configurer snort pour qu'il mémorise le payload d'icmp afin de détecter si la réponse contient des données différentes.

le but est ici de faire une régle générique pour les tunnels qui utilisent les messages echo.

merci

[_solo]

http://actes.sstic.org/SSTIC06/Detec...de_tunnels.pdf
et oui il est possible de tecter si les paquets icmp contient des datas specifiques , sachant que les paquets icmp ne varient pas des masses icmp win pareil sous tous les win linux pareil etc.... ofir arkin avait ecrit un article sur les differents paquets et payload icmp .

[Diody]

Bonjour,

merci pour votre réponse, je vais prendre connaissance du document