Kako konfigurirati Snort v Debianu

Snort je brezplačen sistem za odkrivanje vdorov v omrežje (IDS). Z manj uradnimi izrazi vam omogoča, da v realnem času spremljate svoje omrežje glede sumljivih dejavnosti . Trenutno ima Snort pakete za sisteme, ki temeljijo na Fedora, CentOS, FreeBSD in Windows. Natančen način namestitve se med operacijskimi sistemi razlikuje. V tej vadnici bomo namestili neposredno iz izvornih datotek za Snort. Ta priročnik je bil napisan za Debian.

Posodobite, nadgradite in znova zaženite

Preden dejansko dobimo v roke vire Snort, se moramo prepričati, da je naš sistem posodobljen. To lahko storimo tako, da izdamo spodnje ukaze.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Konfiguracija pred namestitvijo

Ko se vaš sistem znova zažene, moramo namestiti številne pakete, da zagotovimo, da lahko namestimo SBPP. Uspelo mi je ugotoviti, da so potrebni številni paketi, zato je osnovni ukaz spodaj.

sudo apt-get install flex bison build-essential checkinstall libpcap-dev libnet1-dev libpcre3-dev libnetfilter-queue-dev iptables-dev libdumbnet-dev zlib1g-dev -y

Ko so vsi paketi nameščeni, boste morali ustvariti začasni imenik za svoje izvorne datoteke - lahko so kjerkoli želite. bom uporabljal /usr/src/snort_src. Če želite ustvariti to mapo, boste morali biti prijavljeni kot rootuporabnik ali imeti sudodovoljenja - rootsamo olajša.

sudo mkdir /usr/src/snort_src
cd /usr/src/snort_src

Namestitev knjižnice za pridobivanje podatkov (DAQ)

Preden lahko dobimo vir za Snort, moramo namestiti DAQ. Namestitev je dokaj preprosta.

wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz

Ekstrahirajte datoteke iz tarballa.

tar xvfz daq-2.0.6.tar.gz

Preklopite v imenik DAQ.

cd daq-2.0.6

Konfigurirajte in namestite DAQ.

./configure; make; sudo make install

Ta zadnja vrstica se bo izvedla ./configureprva. Nato se bo izvedel make. Nazadnje se bo izvedel make install. Tukaj uporabljamo krajšo sintakso samo zato, da prihranimo pri tipkanju.

Namestitev Snort

Želimo se prepričati, da smo /usr/src/snort_srcspet v imeniku, zato se prepričajte, da ste prešli v ta imenik z:

cd /usr/src/snort_src

Zdaj, ko smo v imeniku za vire, bomo prenesli tar.gzdatoteko za vir. V času tega pisanja je najnovejša različica Snort 2.9.8.0.

wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz

Ukazi za dejansko namestitev snort so zelo podobni tistim, ki se uporabljajo za DAQ, vendar imajo različne možnosti.

Izvlecite izvorne datoteke Snort.

tar xvfz snort-2.9.8.0.tar.gz

Preklopite v izvorni imenik.

cd snort-2.9.8.0

Konfigurirajte in namestite vire.

 ./configure --enable-sourcefire; make; sudo make install

Po namestitvi Snort

Ko imamo nameščen Snort, moramo zagotoviti, da so naše knjižnice v skupni rabi posodobljene. To lahko storimo z ukazom:

sudo ldconfig

Ko to storimo, preizkusite svojo namestitev Snort:

snort --version

Če ta ukaz ne deluje, boste morali ustvariti simbolno povezavo. To lahko storite tako, da vnesete:

sudo ln -s /usr/local/bin/snort /usr/sbin/snort
snort --version

Rezultat bo podoben naslednjemu:

   ,,_     -*> Snort! <*-
  o"  )~   Version 2.9.7.5 GRE (Build 262)
   ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
           Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.6.2
           Using PCRE version: 8.35 2014-04-04
           Using ZLIB version: 1.2.8

Odstranjevanje korenin Snort

Zdaj, ko imamo nameščen snort, ne želimo, da se izvaja kot root, zato moramo ustvariti snortuporabnika in skupino. Za ustvarjanje novega uporabnika in skupine lahko uporabimo ta dva ukaza:

sudo groupadd snort
sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort

Ker smo program namestili z uporabo vira, moramo ustvariti konfiguracijske datoteke in pravila za snort.

sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo touch /etc/snort/rules/white_list.rules /etc/snort/rules/black_list.rules /etc/snort/rules/local.rules

Ko ustvarimo imenike in pravila, moramo zdaj ustvariti imenik dnevnika.

sudo mkdir /var/log/snort

In nazadnje, preden lahko dodamo kakršna koli pravila, potrebujemo prostor za shranjevanje dinamičnih pravil.

sudo mkdir /usr/local/lib/snort_dynamicrules

Ko so vse prejšnje datoteke ustvarjene, zanje nastavite ustrezna dovoljenja.

sudo chmod -R 5775 /etc/snort
sudo chmod -R 5775 /var/log/snort
sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules
sudo chown -R snort:snort /etc/snort
sudo chown -R snort:snort /var/log/snort
sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules

Nastavitev konfiguracijskih datotek

Če želite prihraniti veliko časa in preprečiti, da bi morali vse kopirati in lepiti, dovolite, da kopirate vse datoteke v konfiguracijski imenik.

sudo cp /usr/src/snort_src/snort*/etc/*.conf* /etc/snort
sudo cp /usr/src/snort_src/snort*/etc/*.map /etc/snort

Zdaj, ko so konfiguracijske datoteke tam, lahko naredite eno od dveh stvari:

• Omogočite lahko Barnyard2
• Lahko pa samo pustite konfiguracijske datoteke in selektivno omogočite želena pravila.

Kakorkoli že, še vedno boste želeli nekaj stvari spremeniti. Nadaljujte z branjem.

Konfiguracija

V /etc/snort/snort.confdatoteki boste morali spremeniti spremenljivko HOME_NET. Mora biti nastavljen na blok IP vašega notranjega omrežja, tako da ne bo beležil poskusov vašega lastnega omrežja, da se prijavite v strežnik. To je lahko 10.0.0.0/24ali 192.168.0.0/16. V vrstici 45 /etc/snort/snort.confspremenite spremenljivko HOME_NETna to vrednost bloka IP vašega omrežja.

V mojem omrežju izgleda takole:

ipvar HOME_NET 192.168.0.0/16

Nato boste morali EXTERNAL_NETspremenljivko nastaviti na:

any

Kar se preprosto spremeni EXERNAL_NETv tisto, kar HOME_NETniste.

Postavljanje pravil

Zdaj, ko je velika večina sistema vzpostavljena, moramo konfigurirati naša pravila za tega malega prašička. Nekje okoli linije 104 v /etc/snort/snort.confspisu, bi morali videti "var" izjavo in spremenljivke RULE_PATH, SO_RULE_PATH, PREPROC_RULE_PATH, WHITE_LIST_PATH, in BLACK_LIST_PATH. Njihove vrednosti je treba nastaviti na poti, ki smo jih uporabili v Un-rooting Snort.

var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules

Ko so te vrednosti nastavljene, izbrišite ali komentirajte trenutna pravila, začenši približno v vrstici 548.

Zdaj pa preverimo, ali je vaša konfiguracija pravilna. To lahko preverite z snort.

 # snort -T -c /etc/snort/snort.conf

Videli boste izpis, podoben naslednjemu (okrnjen zaradi kratkosti).

 Running in Test mode

         --== Initializing Snort ==--
 Initializing Output Plugins!
 Initializing Preprocessors!
 Initializing Plug-ins!
 .....
 Rule application order: activation->dynamic->pass->drop->sdrop->reject->alert->log
 Verifying Preprocessor Configurations!

         --== Initialization Complete ==--

    ,,_     -*> Snort! <*-
   o"  )~   Version 2.9.8.0 GRE (Build 229) 
    ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
            Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
            Copyright (C) 1998-2013 Sourcefire, Inc., et al.
            Using libpcap version 1.7.4
            Using PCRE version: 8.35 2014-04-04
            Using ZLIB version: 1.2.8

            Rules Engine: SF_SNORT_DETECTION_ENGINE  Version 2.4  <Build 1>
            Preprocessor Object: SF_IMAP  Version 1.0  <Build 1>
            Preprocessor Object: SF_FTPTELNET  Version 1.2  <Build 13>
            Preprocessor Object: SF_SIP  Version 1.1  <Build 1>
            Preprocessor Object: SF_REPUTATION  Version 1.1  <Build 1>
            Preprocessor Object: SF_POP  Version 1.0  <Build 1>
            Preprocessor Object: SF_DCERPC2  Version 1.0  <Build 3>
            Preprocessor Object: SF_SDF  Version 1.1  <Build 1>
            Preprocessor Object: SF_GTP  Version 1.1  <Build 1>
            Preprocessor Object: SF_DNS  Version 1.1  <Build 4>
            Preprocessor Object: SF_SSH  Version 1.1  <Build 3>
            Preprocessor Object: SF_DNP3  Version 1.1  <Build 1>
            Preprocessor Object: SF_SSLPP  Version 1.1  <Build 4>
            Preprocessor Object: SF_SMTP  Version 1.1  <Build 9>
            Preprocessor Object: SF_MODBUS  Version 1.1  <Build 1>

 Snort successfully validated the configuration!
 Snort exiting

Zdaj, ko je vse konfigurirano brez napak, smo pripravljeni začeti s testiranjem Snort.

Testiranje Snort

Snort najlažje preizkusite tako, da omogočite local.rules. To je datoteka, ki vsebuje vaša pravila po meri.

Če ste v snort.confdatoteki opazili , da nekje okoli vrstice 546 obstaja ta vrstica:

include $RULE_PATH/local.rules

Če je nimate, jo dodajte okoli 546. Nato lahko uporabite local.rulesdatoteko za testiranje. Kot osnovni test imam samo Snort, ki spremlja zahtevo ping (zahteva ICMP). To lahko storite tako, da v local.rulesdatoteko dodate naslednjo vrstico .

 alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)

Ko jo imate v datoteki, jo shranite in nadaljujte z branjem.

Izvedite test

Naslednji ukaz bo zagnal Snort in natisnil opozorila o "hitrem načinu", ko bo uporabnik pod skupinskim smrčanjem s pomočjo konfiguracije /etc/snort/snort.confprisluhnil omrežnemu vmesniku eno1. Preklopiti boste morali na eno1kateri koli omrežni vmesnik, ki ga posluša vaš sistem.

$ sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eno1

Ko ga zaženete, pingajte ta računalnik. Začeli boste videti izhod, ki je videti takole:

01/07−16:03:30.611173 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
01/07−16:03:31.612174 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.104 -> 192.168.1.105
01/07−16:03:31.612202 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
^C*** Caught Int−Signal

Za izhod iz programa lahko pritisnete Ctrl+C in to je to. Snort je pripravljen. Zdaj lahko uporabite poljubna pravila.

Na koncu želim opozoriti, da obstaja nekaj javnih pravil, ki jih je oblikovala skupnost, ki jih lahko prenesete z uradne strani pod zavihkom »Skupnost«. Poiščite "Snort", tik pod tem pa je povezava do skupnosti. Prenesite ga, ekstrahirajte in poiščite community.rulesdatoteko.