Si të konfiguroni Snort në Debian

Snort është një sistem pa pagesë për zbulimin e ndërhyrjeve në rrjet (IDS). Në terma më pak zyrtarë, ju lejon të monitoroni rrjetin tuaj për aktivitete të dyshimta në kohë reale . Aktualisht, Snort ka paketa për sistemet Fedora, CentOS, FreeBSD dhe Windows. Metoda e saktë e instalimit ndryshon midis OS. Në këtë tutorial, ne do të instalojmë direkt nga skedarët burim për Snort. Ky udhëzues është shkruar për Debian.

Përditësoni, përmirësoni dhe rindizni

Përpara se të kapim burimet e Snort, duhet të sigurohemi që sistemi ynë të jetë i përditësuar. Këtë mund ta bëjmë duke lëshuar komandat e mëposhtme.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Para-instaloni konfigurimin

Pasi sistemi juaj të jetë rindezur, ne duhet të instalojmë një numër paketash për t'u siguruar që mund të instalojmë SBPP. Unë arrita të kuptoj se një numër i paketave që nevojiteshin, kështu që komanda bazë është më poshtë.

sudo apt-get install flex bison build-essential checkinstall libpcap-dev libnet1-dev libpcre3-dev libnetfilter-queue-dev iptables-dev libdumbnet-dev zlib1g-dev -y

Pasi të instalohen të gjitha paketat, do t'ju duhet të krijoni një drejtori të përkohshme për skedarët tuaj burimor - ato mund të jenë kudo që dëshironi. Unë do të përdor /usr/src/snort_src. Për të krijuar këtë dosje, do të duhet të identifikohesh si rootpërdorues ose të kesh sudoleje - rootthjesht e bën më të lehtë.

sudo mkdir /usr/src/snort_src
cd /usr/src/snort_src

Instalimi i Bibliotekës së Përvetësimit të të Dhënave (DAQ)

Përpara se të marrim burimin për Snort, duhet të instalojmë DAQ. Është mjaft e thjeshtë për t'u instaluar.

wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz

Ekstraktoni skedarët nga tarball.

tar xvfz daq-2.0.6.tar.gz

Ndrysho në drejtorinë DAQ.

cd daq-2.0.6

Konfiguro dhe instalo DAQ.

./configure; make; sudo make install

Ajo rreshti i fundit do të ekzekutohet së ./configurepari. Pastaj do të ekzekutohet make. Së fundi, do të ekzekutohet make install. Ne përdorim sintaksën më të shkurtër këtu vetëm për të kursyer pak në shtypjen.

Instalimi i Snort

Ne duam të sigurohemi se jemi /usr/src/snort_srcpërsëri në drejtori, kështu që sigurohuni që të ndryshoni në atë drejtori me:

cd /usr/src/snort_src

Tani që jemi në drejtorinë për burimet, do të shkarkojmë tar.gzskedarin për burimin. Në kohën e këtij shkrimi, versioni më i fundit i Snort është 2.9.8.0.

wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz

Komandat për të instaluar në fakt snort janë shumë të ngjashme me ato të përdorura për DAQ, por ato kanë opsione të ndryshme.

Ekstraktoni skedarët burimor Snort.

tar xvfz snort-2.9.8.0.tar.gz

Ndrysho në drejtorinë burimore.

cd snort-2.9.8.0

Konfiguro dhe instalo burimet.

 ./configure --enable-sourcefire; make; sudo make install

Pas instalimit të Snort

Pasi të kemi instaluar Snort, duhet të sigurohemi që bibliotekat tona të përbashkëta të jenë të përditësuara. Këtë mund ta bëjmë duke përdorur komandën:

sudo ldconfig

Pasi ta bëjmë këtë, testoni instalimin tuaj Snort:

snort --version

Nëse kjo komandë nuk funksionon, do t'ju duhet të krijoni një lidhje simbolike. Ju mund ta bëni këtë duke shtypur:

sudo ln -s /usr/local/bin/snort /usr/sbin/snort
snort --version

Prodhimi që rezulton do të jetë i ngjashëm me sa vijon:

   ,,_     -*> Snort! <*-
  o"  )~   Version 2.9.7.5 GRE (Build 262)
   ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
           Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.6.2
           Using PCRE version: 8.35 2014-04-04
           Using ZLIB version: 1.2.8

Un-rooting Snort

Tani që kemi instaluar snort, nuk duam që ai të funksionojë si root, kështu që duhet të krijojmë një snortpërdorues dhe grup. Për të krijuar një përdorues dhe grup të ri, ne mund të përdorim këto dy komanda:

sudo groupadd snort
sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort

Meqenëse e kemi instaluar programin duke përdorur burimin, duhet të krijojmë skedarët e konfigurimit dhe rregullat për gërhitjen.

sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo touch /etc/snort/rules/white_list.rules /etc/snort/rules/black_list.rules /etc/snort/rules/local.rules

Pasi të krijojmë drejtoritë dhe rregullat, tani duhet të krijojmë drejtorinë e regjistrave.

sudo mkdir /var/log/snort

Dhe së fundi, përpara se të shtojmë ndonjë rregull, na duhet një vend për të ruajtur rregullat dinamike.

sudo mkdir /usr/local/lib/snort_dynamicrules

Pasi të jenë krijuar të gjithë skedarët e mëparshëm, vendosni lejet e duhura për to.

sudo chmod -R 5775 /etc/snort
sudo chmod -R 5775 /var/log/snort
sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules
sudo chown -R snort:snort /etc/snort
sudo chown -R snort:snort /var/log/snort
sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules

Konfigurimi i skedarëve të konfigurimit

Për të kursyer shumë kohë dhe për të mos pasur nevojë të kopjoni dhe ngjitni gjithçka, le të kopjoni të gjithë skedarët në drejtorinë e konfigurimit.

sudo cp /usr/src/snort_src/snort*/etc/*.conf* /etc/snort
sudo cp /usr/src/snort_src/snort*/etc/*.map /etc/snort

Tani që skedarët e konfigurimit janë atje, mund të bëni një nga dy gjërat:

• Mund të aktivizoni Barnyard2
• Ose thjesht mund t'i lini të qetë skedarët e konfigurimit dhe të aktivizoni në mënyrë selektive rregullat e dëshiruara.

Sido që të jetë, ju do të dëshironi të ndryshoni disa gjëra. Vazhdoni të lexoni.

Konfigurimi

Në /etc/snort/snort.confskedar, do t'ju duhet të ndryshoni variablin HOME_NET. Duhet të vendoset në bllokun IP të rrjetit tuaj të brendshëm në mënyrë që të mos regjistrojë përpjekjet e rrjetit tuaj për t'u identifikuar në server. Kjo mund të jetë 10.0.0.0/24ose 192.168.0.0/16. Në rreshtin 45 të /etc/snort/snort.confndryshimit të ndryshores HOME_NETnë atë vlerë të bllokut IP të rrjetit tuaj.

Në rrjetin tim, duket kështu:

ipvar HOME_NET 192.168.0.0/16

Pastaj, do të duhet të vendosni EXTERNAL_NETvariablin në:

any

E cila thjesht shndërrohet EXERNAL_NETnë atë që HOME_NETnuk je.

Vendosja e rregullave

Tani që një shumicë e madhe e sistemit është ngritur, ne duhet të konfigurojmë rregullat tona për këtë derrkuc të vogël. Diku rreth rreshtit 104 në /etc/snort/snort.confskedarin tuaj , duhet të shihni një deklaratë "var" dhe variablat RULE_PATH, SO_RULE_PATH, PREPROC_RULE_PATH, WHITE_LIST_PATH, dhe BLACK_LIST_PATH. Vlerat e tyre duhet të vendosen në shtigjet që kemi përdorur në Un-rooting Snort.

var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules

Pasi të vendosen këto vlera, fshini ose komentoni rregullat aktuale duke filluar nga rreshti 548.

Tani, le të kontrollojmë për t'u siguruar që konfigurimi juaj është i saktë. Mund ta verifikoni me snort.

 # snort -T -c /etc/snort/snort.conf

Do të shihni dalje të ngjashme me sa vijon (i shkurtuar për shkurtësi).

 Running in Test mode

         --== Initializing Snort ==--
 Initializing Output Plugins!
 Initializing Preprocessors!
 Initializing Plug-ins!
 .....
 Rule application order: activation->dynamic->pass->drop->sdrop->reject->alert->log
 Verifying Preprocessor Configurations!

         --== Initialization Complete ==--

    ,,_     -*> Snort! <*-
   o"  )~   Version 2.9.8.0 GRE (Build 229) 
    ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
            Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
            Copyright (C) 1998-2013 Sourcefire, Inc., et al.
            Using libpcap version 1.7.4
            Using PCRE version: 8.35 2014-04-04
            Using ZLIB version: 1.2.8

            Rules Engine: SF_SNORT_DETECTION_ENGINE  Version 2.4  <Build 1>
            Preprocessor Object: SF_IMAP  Version 1.0  <Build 1>
            Preprocessor Object: SF_FTPTELNET  Version 1.2  <Build 13>
            Preprocessor Object: SF_SIP  Version 1.1  <Build 1>
            Preprocessor Object: SF_REPUTATION  Version 1.1  <Build 1>
            Preprocessor Object: SF_POP  Version 1.0  <Build 1>
            Preprocessor Object: SF_DCERPC2  Version 1.0  <Build 3>
            Preprocessor Object: SF_SDF  Version 1.1  <Build 1>
            Preprocessor Object: SF_GTP  Version 1.1  <Build 1>
            Preprocessor Object: SF_DNS  Version 1.1  <Build 4>
            Preprocessor Object: SF_SSH  Version 1.1  <Build 3>
            Preprocessor Object: SF_DNP3  Version 1.1  <Build 1>
            Preprocessor Object: SF_SSLPP  Version 1.1  <Build 4>
            Preprocessor Object: SF_SMTP  Version 1.1  <Build 9>
            Preprocessor Object: SF_MODBUS  Version 1.1  <Build 1>

 Snort successfully validated the configuration!
 Snort exiting

Tani që gjithçka është konfiguruar pa gabime, ne jemi gati të fillojmë testimin e Snort.

Testimi Snort

Mënyra më e lehtë për të testuar Snort është duke aktivizuar local.rules. Ky është një skedar që përmban rregullat tuaja të personalizuara.

Nëse e keni vënë re në snort.confskedar, diku rreth rreshtit 546, kjo linjë ekziston:

include $RULE_PATH/local.rules

Nëse nuk e keni, ju lutemi shtoni rreth 546. Më pas mund ta përdorni local.rulesskedarin për testim. Si një test bazë, unë thjesht kam Snort të mbajë gjurmët e një kërkese ping (kërkesa ICMP). Ju mund ta bëni këtë duke shtuar në rreshtin e mëposhtëm në local.rulesskedarin tuaj .

 alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)

Pasi ta keni atë në skedarin tuaj, ruajeni dhe vazhdoni të lexoni.

Kryeni testin

Komanda e mëposhtme do të nisë Snort dhe do të printojë sinjalizimet e "modalitetit të shpejtë", ndërsa përdoruesi gërhit, nën gërhitjen e grupit, duke përdorur konfigurimin /etc/snort/snort.conf, dhe do të dëgjojë në ndërfaqen e rrjetit eno1. Do t'ju duhet të ndryshoni eno1në çfarëdo ndërfaqe rrjeti që po dëgjon sistemi juaj.

$ sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eno1

Pasi ta keni në punë, bëni ping në atë kompjuter. Do të filloni të shihni një dalje që duket si më poshtë:

01/07−16:03:30.611173 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
01/07−16:03:31.612174 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.104 -> 192.168.1.105
01/07−16:03:31.612202 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
^C*** Caught Int−Signal

Mund të shtypni Ctrl+C për të dalë nga programi dhe kaq. Snort është gati. Tani mund të përdorni çdo rregull që dëshironi.

Së fundi, dua të vërej se ka disa rregulla publike të bëra nga komuniteti që mund t'i shkarkoni nga faqja zyrtare nën skedën "Komuniteti". Kërkoni "Snort", pastaj vetëm nën të ka një lidhje të komunitetit. Shkarkoni atë, ekstraktoni dhe kërkoni community.rulesskedarin.