Postavite Barnyard 2 sa Snort

Barnyard2 je način za pohranu i obradu binarnih izlaza iz Snort-a u MySQL bazu podataka.

Prije nego počnemo

Imajte na umu da ako nemate instaliran snort na vašem sustavu, imamo vodič za instaliranje snort-a na debian sustave . Morate imati instaliran snort da bi ovaj sustav radio.

Ažurirajte, nadogradite i ponovno pokrenite

Prije nego što se stvarno uhvatimo u ruke Snort (S) izvora, moramo se uvjeriti da je naš sustav ažuriran. To možemo učiniti izdavanjem naredbi u nastavku.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Konfiguracija prije instalacije

Ako nemate instaliran MySQL, možete ga instalirati sljedećom naredbom,

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Ako nemate instaliran i konfiguriran sustav za otkrivanje upada u mrežu (IDS) Snort, pogledajte dokumentaciju instalacijske dokumentacije

Postavljanje Barnyard2

Da bismo instalirali Barnyard, moramo uzeti izvor s Barnyard2-ove github stranice .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Sada kada imamo izvor za barnyard, moramo se autoreconfbaviti barnyardom.

sudo autoreconf -fvi -I ./m4

Ažurirajte reference knjižnice sustava

Kada se to završi, morate napraviti simboličku vezu na dumbnet biblioteku kao dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Budući da smo u biti napravili novu knjižnicu sustava, moramo ažurirati predmemoriju knjižnice sustava. To se može učiniti izdavanjem sljedeće naredbe:

sudo ldconfig

Konfiguriranje Barnyard2 za MySQL

Ovaj dio je važan jer ovisi o tome je li vaš sustav 64-bitni ili 32-bitni sustav.

Ako niste sigurni je li vaš sustav 64-bitni ili 32-bitni, možete to upotrijebiti uname -mili archpostići.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Tako bi ta konfiguracija trebala izgledati ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Kopiranje konfiguracija

Kako bismo ispravno postavili barnyard i pustili da radi s našim sustavom, moramo kopirati naše konfiguracijske datoteke. Također, imajte na umu da sam, dok sam ovo testirao, morao stvoriti direktorij dnevnika za barnyard2, inače njegovo pokretanje ne bi uspjelo.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Izrada baze podataka

Sada kada je naša instanca barnyarda uglavnom postavljena, moramo stvoriti i povezati bazu podataka s našim postavljanjem.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Konfiguriranje dvorišta za korištenje s MySQL

U slučaju da niste promijenili lozinku u gornjoj naredbi, lozinku možete resetirati ponovnim unosom naredbe mysql i unosom

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

Na samom dnu svoje /etc/snort/barnyard2.confdatoteke dodajte sljedeće i uredite lozinku na ono što ste postavili iznad.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Iz sigurnosnih razloga, moramo zaključati našu datoteku barnyard.conf jer sadrži lozinku vaše baze podataka u otvorenom tekstu.

sudo chmod o-r /etc/snort/barnyard2.conf

Testiranje

Možete testirati snort tako što ćete ga pokrenuti u načinu upozorenja pomoću vaše konfiguracijske datoteke.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Nakon što se snort pokrene, otvorite drugi terminal i pingirajte adresu tog sustava, trebali biste moći vidjeti poruke na svom glavnom terminalu.

Sada kada imate neke podatke u svojim zapisnicima šmrkanja, trebali biste moći testirati barnyard u odnosu na njih.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Ove zastave u osnovi znače sljedeće.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Nakon pokretanja barnyarda, jednom kada se Waiting for new datapojavi, možete zatvoriti aplikaciju pritiskom na ctrl + csada da provjerite svoju MySQL bazu podataka tako da se ponovno prijavite na MySQL poslužitelj i odaberete sve iz eventtablice u vašoj snortbazi podataka.

mysql -u snort -p snort
select count(*) from event;

Sve dok je broj veći od 0 sve je radilo kako treba!

Međutim, ako je broj 0, vjerojatno ili pingujete svoj sustav sa sustava koji odgovara IP-u s popisa dopuštenih. Ako je to slučaj, pokušajte pingati svoj sustav izvan mreže i provjerite je li izložen vanjskom svijetu.

Čestitamo, sada imate način čitanja i praćenja otkrivenih upada.