Iestatiet Barnyard 2 ar Snort

Barnyard2 ir veids, kā saglabāt un apstrādāt Snort bināros izvadus MySQL datu bāzē.

Pirms sākam

Lūdzu, ņemiet vērā: ja jūsu sistēmā nav instalēts snort, mums ir ceļvedis snort instalēšanai debian sistēmās . Lai šī sistēma darbotos, jums ir jābūt instalētam snort.

Atjaunināšana, jaunināšana un atsāknēšana

Pirms mēs patiešām nonākam pie Snort (S) avotiem, mums ir jāpārliecinās, vai mūsu sistēma ir atjaunināta. Mēs to varam izdarīt, izdodot tālāk norādītās komandas.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Iepriekšinstalēšanas konfigurācija

Ja jums nav instalēta MySQL, varat to instalēt ar šādu komandu:

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Ja jums nav instalēta un konfigurēta tīkla ielaušanās noteikšanas sistēma (IDS) Snort, lūdzu, skatiet dokumentācijas instalēšanas dokumentāciju.

Barnyard iestatīšana2

Lai instalētu Barnyard, mums ir jāsatver avots no Barnyard2 github lapas .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Tagad, kad mums ir kūts dārza avots, mums ir jārīkojas autoreconf.

sudo autoreconf -fvi -I ./m4

Atjauniniet sistēmas bibliotēkas atsauces

Kad tas ir pabeigts, ir jāizveido simsaite uz dumbnet bibliotēku kā dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Tā kā mēs būtībā izveidojām jaunu sistēmas bibliotēku, mums ir jāatjaunina sistēmas bibliotēkas kešatmiņa. To var izdarīt, izdodot šādu komandu:

sudo ldconfig

Barnyard2 konfigurēšana MySQL

Šī daļa ir svarīga, jo tā ir atkarīga no tā, vai jūsu sistēma ir 64 bitu sistēma vai 32 bitu sistēma.

Ja neesat pārliecināts, vai jūsu sistēma ir 64 bitu vai 32 bitu, varat izmantot uname -mvai, archlai to panāktu.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Tātad šai konfigurācijai vajadzētu izskatīties ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Konfigurāciju kopēšana

Lai pareizi iestatītu barnyard un ļautu tai darboties ar mūsu sistēmu, mums ir jāpārkopē mūsu konfigurācijas faili. Turklāt, lūdzu, ņemiet vērā, ka, kamēr es to pārbaudīju, man bija jāizveido barnyard2 žurnāla direktorijs, pretējā gadījumā to palaist neizdosies.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Datu bāzes izveide

Tagad, kad mūsu barnyard instance lielākoties ir iestatīta, mums ir jāizveido un jāsaista datubāze ar mūsu iestatījumu.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Barnyard konfigurēšana lietošanai ar MySQL

Ja iepriekš minētajā komandā nenomainījāt paroli, varat atiestatīt paroli, atkārtoti ievadot komandu mysql un ievadot

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

/etc/snort/barnyard2.confFaila pašā apakšā pievienojiet tālāk norādīto un rediģējiet iepriekš iestatīto paroli.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Drošības nolūkos mums ir jābloķē fails barnyard.conf, jo tajā ir ietverta jūsu datu bāzes parole skaidrā tekstā.

sudo chmod o-r /etc/snort/barnyard2.conf

Testēšana

Jūs varat pārbaudīt snort, palaižot to brīdinājuma režīmā, izmantojot savu konfigurācijas failu.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Kad snort darbojas, atveriet citu termināli un nosūtiet šīs sistēmas adreses ping, lai jūs varētu redzēt ziņojumus savā galvenajā terminālī.

Tagad, kad jūsu snort žurnālos ir daži dati, jums vajadzētu būt iespējai pārbaudīt barnyard pret tiem.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Šie karodziņi būtībā nozīmē sekojošo.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Pēc Barnyard palaišanas Waiting for new datavarat aizvērt lietojumprogrammu, nospiežot ctrl + ctagad, lai pārbaudītu savu MySQL datu bāzi, piesakoties atpakaļ MySQL serverī un atlasot visu no eventsavas snortdatu bāzes tabulas .

mysql -u snort -p snort
select count(*) from event;

Kamēr skaits ir lielāks par 0, viss darbojās pareizi!

Tomēr, ja skaitlis ir 0, jūs, iespējams, vai nu pingojat savai sistēmai no sistēmas, kas atbilst baltajā sarakstā iekļautajam IP. Ja tas tā ir, mēģiniet nosūtīt ping jūsu sistēmai no tīkla ārpuses un pārliecināties, ka tā ir pakļauta ārējai pasaulei.

Apsveicam! Tagad jums ir iespēja lasīt un izsekot atklātajiem ielaušanās gadījumiem.