Slawek o 14:27, 23 kwi 2012

2012-04-23T14:27:32Z

Slawek o 13:55, 17 kwi 2012

2012-04-17T13:55:56Z

Slawek o 13:55, 17 kwi 2012

2012-04-17T13:55:44Z

Slawek: Utworzył nową stronę „Category:Serwer == Snort == Witam, w poniższym artykule postaram się przedstawić sposób w jaki można zainstalować oprogramowanie do detekcji włamań. Ins...”

2012-04-17T13:55:26Z

Utworzył nową stronę „Category:Serwer == Snort == Witam, w poniższym artykule postaram się przedstawić sposób w jaki można zainstalować oprogramowanie do detekcji włamań. Ins...”

Nowa strona

[[Category:Serwer]]
== Snort ==

Witam, w poniższym artykule postaram się przedstawić sposób w jaki można zainstalować oprogramowanie do detekcji włamań. Instalowane oprogramowanie to '''snort''' + '''http''' + '''mysql''' potrzebne również będzie '''php'''. '''Snort''' jest oprogramowaniem typu [[open source]] wykorzystywanym do detekcji włamań w czasie rzeczywistym. Oprogramowanie analizuje ruch sieciowy, może być wykorzystywany do detekcji ataków typu przepełnienie buforu, skanowania portów, ataków CGI, SMB , na podstawie zostawionych odcisków (OS fingerprinting) i wielu innych…

== Instalacja ==

Instalacje zaczniemy od zainstalowania potrzebnych pakietów. Jezeli mamy system linux centos to:

yum install httpd mysql-bench mysql-devel php-mysql gcc pcre-devel php php-gd gd glib2-devel gcc-c++ libpcap-devel

Dla przykładu i porządku w systemie tworzymy folder np ''/root/snortinstall'' w którym będziemy umieszczać wszystkie potrzebne pakiety, które będą nam potrzebne.

cd root/
mkdir snortinstall
cd snortinstall

Pobieramy oprogramowanie z glównej strony [http://www.snort.org www.snort.org]

wget http://www.snort.org/snort-downloads/snort-2.8.6.1.tar.gz

'''Uwaga''' wyżej wymieniony link może być w momencie gdy czytasz ten artykuł nieaktywny. Aby ściągnąć najnowszą wersje snort'a wejdź na strone [http://www.snort.org/snort-downloads www.snort.org/snort-downloads]

Następnym krokiem będzie rozpakowanie archiwum:

tar xvf snort-2.8.6.1.tar.gz
cd snort-2.8.6
./configure --with-mysql --enable-dynamicplugin
make
make install
groupadd snort
useradd -g snort snort -s /sbin/nologin
mkdir /etc/snort
mkdir /etc/snort/rules
mkdir /etc/snort/so_rules
mkdir /var/log/snort
chown snort:snort /var/log/snort
cd etc/
cp * /etc/snort
cd cd /root/snortinstall

Następnym krokiem będzie instalacja reguł dla '''snorta'''. Możemy to zrobić we dwojaki sposób. Pierwszym jest wykupienie najnowszych i „najlepszych” jak mówi oficjalna strona snorta, reguł jest to sposób rekomendowany. Drugą możliwością jest zarejestrowanie się na stronie www.snort.org i ściągnięcie najświeższych reguł. Tutaj będzie opisywany sposób drugi. A więc wchodzimy na strone snorta i się rejestrujemy wypełniając bardzo krótki formularz. Musimy przy tym podać swój adres email gdyż na niego będzie przesyłany list zwrotny z kodem aktywacyjnym. Po rejestracji ściągamy najnowsze reguły w trakcie pisania tego artykułu jest to plik: ''snortrules-snapshot-2860''. Po ściągnięciu pliku przystępujemy do konfiguracji.

tar xvfz snortrules-snapshot-2860.tar.gz
cd ./rules
cp * /etc/snort/rules
cp ../so_rules/precompiled/CentOS-5.0/i386/2.8.6.0/* /etc/snort/so_rules

Przechodzimy do konfiguracji ''plikusnort.rules'' znajdującego się w folderze ''/etc/snort''

vim /etc/snort/snort.conf

Zmieniamy następująze linijki:

"var RULE_PATH ../rules" na "var RULE_PATH /etc/snort/rules"
"var SO_RULE_PATH ../so_rules" na "var SO_RULE_PATH /etc/snort/su_rules"

Przechodzimy do sekcji „''output''” i jeśli nie ma to dodajemy następującą linijkę:

output unified2: filename snort.log, limit 128

=== Konfiguracja bazy danych MySQL ===

Utworzymy dwa hasła jedno dla root'a (możemy pominąć ten krok jeśli mamy już takie hasło założone), drugie dla użytkownika '''snort'''.

echo "SET PASSWORD FOR root@@localhost=PASSWORD('haslo');" | mysql -u root -p
echo "create database snort;" | mysql -u root -p
mysql -u root -p -D snort < ./schemas/create_mysql
echo "grant create, insert on root.* to snort@localhost" | mysql -u root -p
echo "SET PASSWORD FOR snort@localhost=PASSWORD('haslo');" | mysql -u root -p
echo "grant create, insert, select, delete, update on snort.* to snort@localhost" | mysql -u root -p

=== Instalacja i konfiguracja BASE (Basic Analysis and Security Engine and ADODB) ===

==== Ściągamy ADODB ====

W momencie pisania artykułu najnowsza wersja oznaczona była numerkiem 5.

cd /root/snortinstall/
wget http://sourceforge.net/projects/adodb/files/adodb-php5-only/adodb-511-for-php/adodb511.tgz/download

==== Ściągamy BASE ====

wget http://netcologne.dl.sourceforge.net/project/secureideas/BASE/base-1.4.5/base-1.4.5.tar.gz

==== Instalacja ADODB ====

cd /var/www/
tar xvfz /root/snortinstall/adodb-511.tgz
mv adodb5/ adodb/

==== Instalacja i konfiguracja BASE ====

cd /var/www/html/
tar xvzf /root/snortinstall/base-1.4.5.tar.gz
mv base-1.4.5/ base/
cd /base
cp base_conf.php.dist base_conf.php

Edytujemy plik ''base_conf.php''

$BASE_urlpath = '/base';
$DBlib_path = '/var/www/html/adodb';
$DBtype = 'mysql';
$alert_dbname = 'snort';
$alert_host = 'localhost';
$alert_port = '';
$alert_user = 'snort';
$alert_password = 'haslo stworzone dla uzytkownika snort bazy danych mysql';

W sekcji Archive DB connection parameters:

$archive_exists = 0;

Teraz możemy przejść do swojej ulubionej przeglądarki i w pasku url wpisać następujący adres http://ip komputera ze snortem/base, klikamy na Setup page a następnie na Create BASE AG. Po tych działaniach przechodzim spowrotem do konsoli i wydajemy następujące komendy:

mkdir /var/www/passwords
/usr/bin/htpasswd -c /var/www/passwords/passwords base

base będzie użytkownikiem potrzebnym do zalogowania się na stronę internetową naszego IDS. Konfigurujemy plik ''/etc/httpd/conf/httpd.conf'', dopisujemy następującą składnię.

AuthType Basic
AuthName "SnortIDS"
AuthUserFile /var/www/password/passwords
Require user base

/etc/init.d/httpd restart

==== Instalacja pakietu Barnyard2 ====

Pakiet '''Barnyard2''' przyda nam się do zapisywania wszystkich zgłoszonych „alertów” do bazy danych [[MySQL]]. Ściągamy paczkę za pomocą:

wget http://www.securixlive.com/download/barnyard2/barnyard2-1.8.tar.gz
tar xvzf barnyard2-1.8.tar.gz
cd barnyard2-1.8
./configure --with-mysql
make
make install
cp etc/barnyard2.conf /etc/snort/
mkdir /var/log/barnyard2
chmod 666 /var/log/barnyard2
touch /var/log/snort/barnyard2.waldo
chown snort:snort /var/log/snort/barnyard2.waldo

Edytujemy i zmieniamy plik ''/etc/snort/barnyard2.conf'' tak aby znalazły się w nim następujące linijki:

config hostname:localhost
config interface: eth0 # jeśli używasz eth1 wpisz użyj eth1
output database: log, mysql, user=snort password='hasło w mysql dla uzytkownika snort' dbname=snort host=localhost

__
O”),,-,,)~~ ”” powodzenia

← poprzednia wersja		Wersja z 14:27, 23 kwi 2012
Linia 154:		Linia 154:

	O”),,-,,)~~ ”” powodzenia		O”),,-,,)~~ ”” powodzenia
		+
		+	<br /><google1 style="4"></google1>

← poprzednia wersja		Wersja z 13:55, 17 kwi 2012
Linia 153:		Linia 153:


−	__
	O”),,-,,)~~ ”” powodzenia		O”),,-,,)~~ ”” powodzenia

← poprzednia wersja		Wersja z 13:55, 17 kwi 2012
Linia 154:		Linia 154:

	__		__
−	O”),,-,,)~~ ”” powodzenia	+	O”),,-,,)~~ ”” powodzenia

Snort - Historia wersji

Slawek o 14:27, 23 kwi 2012

Slawek o 13:55, 17 kwi 2012

Slawek o 13:55, 17 kwi 2012

Slawek: Utworzył nową stronę „Category:Serwer == Snort == Witam, w poniższym artykule postaram się przedstawić sposób w jaki można zainstalować oprogramowanie do detekcji włamań. Ins...”