Állítsa be a Barnyard 2-t Snorttal

A Barnyard2 egy mód a Snort bináris kimeneteinek MySQL adatbázisba történő tárolására és feldolgozására.

Mielőtt elkezdenénk

Kérjük, vegye figyelembe, hogy ha nincs snort telepítve a rendszerére, akkor van egy útmutatónk a snort telepítéséhez debian rendszereken . A rendszer működéséhez telepíteni kell a snortot.

Frissítés, frissítés és újraindítás

Mielőtt ténylegesen rátérnénk a Snort (S) forrásokra, meg kell győződnünk arról, hogy rendszerünk naprakész. Ezt az alábbi parancsok kiadásával tehetjük meg.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Telepítés előtti konfiguráció

Ha nincs telepítve a MySQL, akkor a következő paranccsal telepítheti:

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Ha nincs telepítve és konfigurálva a hálózati behatolásérzékelő rendszer (IDS) Snort, kérjük, olvassa el a dokumentáció telepítési dokumentációját.

A Barnyard2 beállítása

A Barnyard telepítéséhez meg kell ragadnunk a forrást a Barnyard2 github oldaláról .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Most, hogy megvan a forrás a barnyard számára, meg kell autoreconfdolgoznunk.

sudo autoreconf -fvi -I ./m4

Frissítse a rendszerkönyvtár hivatkozásait

Ha ez kész, létre kell hoznia egy szimbolikus hivatkozást a dumbnet könyvtárra dnet néven.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Mivel lényegében új rendszerkönyvtárat készítettünk, frissítenünk kell a rendszer könyvtár gyorsítótárát. Ezt a következő parancs kiadásával lehet megtenni:

sudo ldconfig

A Barnyard2 konfigurálása a MySQL-hez

Ez a rész azért fontos, mert attól függ, hogy a rendszer 64 bites vagy 32 bites rendszer-e.

Ha nem biztos abban, hogy a rendszere 64 bites vagy 32 bites-e, használhatja a uname -mvagy archa lehetőséget.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Tehát a konfigurációnak így kell kinéznie ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Konfigurációk másolása

A barnyard megfelelő beállításához és a rendszerünkkel való működéséhez át kell másolnunk konfigurációs fájljainkat. Kérjük, vegye figyelembe, hogy amíg ezt teszteltem, létre kellett hoznom a barnyard2 naplókönyvtárát, különben a futtatás meghiúsulna.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Az adatbázis létrehozása

Most, hogy a barnyard-példányunkat többnyire már beállítottuk, létre kell hoznunk és társítanunk kell egy adatbázist a telepítésünkhöz.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Barnyard konfigurálása a MySQL-lel való használatra

Ha véletlenül nem változtatta meg a jelszót a fenti parancsban, akkor visszaállíthatja a jelszót a mysql parancs újbóli megadásával és

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

A /etc/snort/barnyard2.conffájl alján adja hozzá a következőket, és módosítsa a jelszót a fent beállítotthoz.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Biztonsági okokból zárolnunk kell a barnyard.conf fájlunkat, mert az adatbázis jelszavát egyértelmű szöveggel tartalmazza.

sudo chmod o-r /etc/snort/barnyard2.conf

Tesztelés

A snort teszteléséhez riasztási módban futtassa a konfigurációs fájl segítségével.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Ha a snort fut, nyisson meg egy másik terminált, és pingelje le a rendszer címét, így látnia kell az üzeneteket a fő terminálon.

Most, hogy van néhány adata a horkantási naplókban, képesnek kell lennie arra, hogy tesztelje a barnyardot.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Ezek a zászlók alapvetően a következőket jelentik.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

A Barnyard elindítása után, ha egyszer Waiting for new datamegjelenik, kiléphet az alkalmazásból, ha megnyomja ctrl + ca gombot, hogy ellenőrizze a MySQL-adatbázist úgy, hogy újra bejelentkezik a MySQL-kiszolgálóra, és kiválasztja az összeset eventaz snortadatbázisban lévő táblázatból .

mysql -u snort -p snort
select count(*) from event;

Amíg a szám több mint 0, minden megfelelően működött!

Ha azonban a szám 0, akkor valószínűleg vagy olyan rendszerről pingeli a rendszert, amely megfelel az engedélyezőlistán szereplő IP-címnek. Ha ez a helyzet, próbálja meg pingelni a rendszert a hálózaton kívülről, és győződjön meg arról, hogy ki van téve a külvilágnak.

Gratulálunk, most már lehetősége van elolvasni és nyomon követni az észlelt behatolásokat.