Настройте Barnyard 2 с Snort

Barnyard2 е начин за съхранение и обработка на двоичните изходи от Snort в MySQL база данни.

Преди да започнем

Моля, имайте предвид, че ако нямате инсталиран snort във вашата система, ние имаме ръководство за инсталиране на snort на системи на debian . Трябва да имате инсталиран snort, за да работи тази система.

Актуализиране, надграждане и рестартиране

Преди всъщност да се заемем с източниците на Snort (S), трябва да се уверим, че нашата система е актуална. Можем да направим това, като издадем командите по-долу.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Конфигурация преди инсталиране

Ако нямате инсталиран MySQL, можете да го инсталирате със следната команда:

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Ако нямате инсталирана и конфигурирана мрежова система за откриване на проникване (IDS) Snort, моля, направете справка с документацията за инсталационна документация

Настройване на Barnyard2

За да инсталираме Barnyard, трябва да вземем източника от страницата на github на Barnyard2 .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Сега, когато имаме източника за barnyard, трябва да го направим autoreconf.

sudo autoreconf -fvi -I ./m4

Актуализирайте препратките към системната библиотека

След като това приключи, трябва да направите символна връзка към библиотеката dumbnet като dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Тъй като по същество направихме нова системна библиотека, трябва да актуализираме кеша на библиотеката на системата. Това може да стане чрез издаване на следната команда:

sudo ldconfig

Конфигуриране на Barnyard2 за MySQL

Тази част е важна, защото зависи от това дали вашата система е 64-битова или 32-битова система.

Ако не сте сигурни дали вашата система е 64-битова или 32-битова, можете да използвате uname -mили archда постигнете това.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Така че конфигурацията трябва да изглежда така ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Копиране на конфигурации

За да настроим правилно barnyard и да го оставим да работи с нашата система, трябва да копираме нашите конфигурационни файлове. Също така, моля, имайте предвид, че докато тествах това, трябваше да създам директорията на журнала за barnyard2, в противен случай стартирането му нямаше да се справи.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Създаване на базата данни

Сега, когато нашият екземпляр на barnyard е предимно настроен, трябва да създадем и свържем база данни с нашата настройка.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Конфигуриране на barnyard за използване с MySQL

В случай, че не сте променили паролата в горната команда, можете да нулирате паролата, като въведете отново командата mysql и въведете

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

В най-долната част на вашия /etc/snort/barnyard2.confфайл добавете следното и редактирайте паролата към това, което сте задали по-горе.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

От съображения за сигурност трябва да заключим нашия файл barnyard.conf, защото съдържа паролата за вашата база данни в чист текст.

sudo chmod o-r /etc/snort/barnyard2.conf

Тестване

Можете да тествате snort, като го стартирате в режим на предупреждение, като използвате вашия конфигурационен файл.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

След като snort стартира, отворете друг терминал и пингувайте адреса на тази система, би трябвало да можете да видите съобщенията на вашия основен терминал.

Сега, когато имате някои данни във вашите дневници за snort, трябва да можете да тествате barnyard срещу него.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Тези знамена основно означават следното.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

След като стартирате barnyard, след като се Waiting for new dataпояви, можете да излезете от приложението, като натиснете ctrl + cсега, за да проверите вашата MySQL база данни, като влезете обратно в MySQL сървъра и изберете всички от eventтаблицата във вашата snortбаза данни.

mysql -u snort -p snort
select count(*) from event;

Докато броят е повече от 0, всичко работи правилно!

Въпреки това, ако броят е 0, вероятно или пингвате вашата система от система, която съответства на IP адрес в белия списък. Ако случаят е такъв, опитайте да пингувате системата си извън мрежата и да се уверите, че е изложена на външния свят.

Поздравления, вече имате начин да четете и следите откритите си прониквания.