Nustatykite „Barnyard 2“ naudodami „Snort“.

Barnyard2 yra būdas saugoti ir apdoroti dvejetainius Snort išėjimus į MySQL duomenų bazę.

Prieš pradedant

Atkreipkite dėmesį, kad jei jūsų sistemoje nėra įdiegta snort, mes turime vadovą, kaip įdiegti snort Debian sistemose . Kad ši sistema veiktų, turite turėti įdiegtą „snort“.

Atnaujinkite, atnaujinkite ir paleiskite iš naujo

Prieš iš tikrųjų įsigilindami į „Snort“ (S) šaltinius, turime įsitikinti, kad mūsų sistema yra atnaujinta. Tai galime padaryti išleisdami toliau pateiktas komandas.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Iš anksto įdiegta konfigūracija

Jei nesate įdiegę MySQL, galite ją įdiegti naudodami šią komandą:

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Jei neturite įdiegtos ir sukonfigūruotos tinklo įsibrovimo aptikimo sistemos (IDS) „Snort“, skaitykite dokumentacijos diegimo dokumentus.

„Barnyard“ nustatymas2

Norėdami įdiegti „Barnyard“, turime paimti šaltinį iš „ Barnyard2“ github puslapio .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Dabar, kai turime tvarto šaltinį, turime pradėti autoreconftvartą.

sudo autoreconf -fvi -I ./m4

Atnaujinkite sistemos bibliotekos nuorodas

Kai tai bus baigta, turite sukurti simbolinę nuorodą į dumbnet biblioteką kaip dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Kadangi iš esmės sukūrėme naują sistemos biblioteką, turime atnaujinti sistemos bibliotekos talpyklą. Tai galima padaryti išleidus šią komandą:

sudo ldconfig

„Barnyard2“ konfigūravimas „MySQL“.

Ši dalis yra svarbi, nes ji priklauso nuo to, ar jūsų sistema yra 64 bitų, ar 32 bitų sistema.

Jei nesate tikri, ar jūsų sistema yra 64 bitų, ar 32 bitų, galite tai pasiekti naudodami uname -marba arch.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Taigi tokia konfigūracija turėtų atrodyti ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Konfigūracijų kopijavimas

Norėdami tinkamai nustatyti barnyard ir leisti jai veikti su mūsų sistema, turime nukopijuoti savo konfigūracijos failus. Be to, atkreipkite dėmesį, kad bandydamas tai turėjau sukurti barnyard2 žurnalo katalogą, kitaip jo paleidimas nepavyktų.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Duomenų bazės kūrimas

Dabar, kai mūsų barnyard egzempliorius daugiausia nustatytas, turime sukurti ir susieti duomenų bazę su mūsų sąranka.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Barnyard konfigūravimas naudoti su MySQL

Jei nepasikeitėte slaptažodžio aukščiau pateiktoje komandoje, galite iš naujo nustatyti slaptažodį iš naujo įvesdami komandą mysql ir įvesdami

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

Pačiame /etc/snort/barnyard2.conffailo apačioje pridėkite toliau pateiktą informaciją ir redaguokite slaptažodį, kurį nustatėte aukščiau.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Saugumo sumetimais turime užrakinti failą barnyard.conf, nes jame yra jūsų duomenų bazės slaptažodis aiškiu tekstu.

sudo chmod o-r /etc/snort/barnyard2.conf

Testavimas

Galite išbandyti snūduriavimą paleidę jį įspėjimo režimu naudodami konfigūracijos failą.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Kai snort paleidžiamas, atidarykite kitą terminalą ir ping tos sistemos adreso, turėtumėte matyti pranešimus pagrindiniame terminale.

Dabar, kai savo snarglių žurnaluose turite tam tikrų duomenų, turėtumėte galėti patikrinti tvartą.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Šios vėliavėlės iš esmės reiškia štai ką.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Paleidę barnyard, kai tik Waiting for new datapasirodys, galite uždaryti programą paspausdami ctrl + cdabar, kad patikrintumėte savo MySQL duomenų bazę, vėl prisijungdami prie MySQL serverio ir pasirinkę viską iš eventsavo snortduomenų bazės lentelės .

mysql -u snort -p snort
select count(*) from event;

Kol skaičius didesnis nei 0, viskas veikė tinkamai!

Tačiau jei skaičius YRA 0, tikriausiai pinguojate savo sistemą iš sistemos, kuri atitinka baltajame sąraše esantį IP. Jei taip yra, pabandykite išsiųsti savo sistemos pingą iš tinklo ir įsitikinkite, kad ji yra veikiama išorinio pasaulio.

Sveikiname, dabar turite galimybę skaityti ir sekti aptiktus įsilaužimus.