Opsætning af Barnyard 2 Med Snort

Barnyard2 er en måde at gemme og behandle de binære output fra Snort til en MySQL-database.

Inden vi begynder

Bemærk venligst, at hvis du ikke har snort installeret på dit system, har vi en guide til installation af snort på debian-systemer . Du skal have installeret snort for at dette system kan fungere.

Opdater, opgrader og genstart

Før vi rent faktisk får fingrene i Snort (S) kilderne, skal vi sikre os, at vores system er opdateret. Vi kan gøre dette ved at udstede kommandoerne nedenfor.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Pre-install konfiguration

Hvis du ikke har MySQL installeret, kan du installere det med følgende kommando,

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Hvis du ikke har Network Intrusion Detection System (IDS) Snort installeret og konfigureret, bedes du konsultere dokumentationen til installationsdokumentationen

Opsætning af Barnyard2

For at installere Barnyard skal vi hente kilden fra Barnyard2s github-side .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Nu hvor vi har kilden til gården, skal vi til autoreconfgården.

sudo autoreconf -fvi -I ./m4

Opdater referencer til systembiblioteket

Når det er færdigt, skal du lave et symbollink til dumbnet-biblioteket som dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Fordi vi i det væsentlige har lavet et nyt systembibliotek, er vi nødt til at opdatere systemets bibliotekscache. Dette kan gøres ved at udstede følgende kommando:

sudo ldconfig

Konfiguration af Barnyard2 til MySQL

Denne del er vigtig, fordi den afhænger af, om dit system er et 64 bit system eller et 32 ​​bit system.

Hvis du er usikker på, om dit system er 64 bit eller 32 bit, kan du enten bruge uname -meller for archat opnå dette.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Så den konfiguration skal se ud ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Kopiering af konfigurationer

For at konfigurere barnyard korrekt og lade det arbejde med vores system, skal vi kopiere vores konfigurationsfiler. Bemærk også, mens jeg testede dette, var jeg nødt til at oprette logbiblioteket til barnyard2, ellers ville det mislykkes at køre det.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Oprettelse af databasen

Nu hvor vores barnyard-instans for det meste er blevet sat op, skal vi oprette og knytte en database til vores opsætning.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Konfiguration af gårdhave til brug med MySQL

I tilfælde af at du ikke tilfældigvis ændrede adgangskoden i ovenstående kommando, kan du nulstille adgangskoden ved at genindtaste mysql-kommandoen og indtaste

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

Helt nederst i din /etc/snort/barnyard2.conffil tilføjer du følgende, og rediger adgangskoden til det, du har angivet ovenfor.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Af sikkerhedsmæssige årsager er vi nødt til at låse vores barnyard.conf-fil, fordi den indeholder din databaseadgangskode i klartekst.

sudo chmod o-r /etc/snort/barnyard2.conf

Afprøvning

Du kan teste snorten ved at lade den køre i alarmtilstand ved hjælp af din konfigurationsfil.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Når snort kører, skal du åbne en anden terminal og pinge systemets adresse, du burde være i stand til at se beskederne på din hovedterminal.

Nu hvor du har nogle data i dine snort-logs, burde du være i stand til at teste gården mod det.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Disse flag betyder grundlæggende følgende.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Efter at have startet barnyard, en gang Waiting for new datavises, kan du afslutte programmet ved at trykke ctrl + cnu for at kontrollere din MySQL-database ved at logge tilbage på MySQL-serveren og vælge alt fra eventtabellen i din snortdatabase.

mysql -u snort -p snort
select count(*) from event;

Så længe antallet er mere end 0, fungerede alt korrekt!

Men hvis antallet ER 0, pinger du sandsynligvis enten dit system fra et system, der matcher en hvidlistet ip. Hvis det er tilfældet, prøv at pinge dit system ude fra dit netværk og for at sikre dig, at det er udsat for omverdenen.

Tillykke, du har nu en måde at læse og holde styr på dine opdagede indtrængen på.