Ställ in Barnyard 2 med snor

Barnyard2 är ett sätt att lagra och bearbeta de binära utdata från Snort till en MySQL-databas.

Innan vi börjar

Observera att om du inte har snort installerat på ditt system, har vi en guide för installation av snort på debiansystem . Du måste ha snort installerat för att detta system ska fungera.

Uppdatera, uppgradera och starta om

Innan vi faktiskt får tag i Snort (S)-källorna måste vi se till att vårt system är uppdaterat. Vi kan göra detta genom att utfärda kommandona nedan.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Förinstallationskonfiguration

Om du inte har MySQL installerat kan du installera det med följande kommando,

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Om du inte har nätverksintrångsdetektionssystemet (IDS) Snort installerat och konfigurerat, vänligen konsultera installationsdokumentationen

Installera Barnyard2

För att installera Barnyard måste vi hämta källan från Barnyard2s github-sida .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Nu när vi har källan till ladugård måste vi gå på autoreconfladugård.

sudo autoreconf -fvi -I ./m4

Uppdatera systembiblioteksreferenser

När det är klart måste du göra en symbollänk till dumbnet-biblioteket som dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Eftersom vi i princip skapade ett nytt systembibliotek måste vi uppdatera systemets bibliotekscache. Detta kan göras genom att utfärda följande kommando:

sudo ldconfig

Konfigurera Barnyard2 för MySQL

Den här delen är viktig eftersom den beror på om ditt system är ett 64-bitarssystem eller ett 32-bitarssystem.

Om du är osäker på om ditt system är 64-bitars eller 32-bitars eller inte, kan du antingen använda uname -meller för archatt uppnå detta.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Så den konfigurationen borde se ut ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Kopiera konfigurationer

För att ställa in barnyard ordentligt och låta det fungera med vårt system måste vi kopiera över våra konfigurationsfiler. Observera också, medan jag testade detta var jag tvungen att skapa loggkatalogen för barnyard2, annars skulle körningen misslyckas.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Skapar databasen

Nu när vår barngårdsinstans för det mesta har konfigurerats måste vi skapa och associera en databas med vår installation.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Konfigurera barngård för användning med MySQL

Om du inte råkade ändra lösenordet i kommandot ovan, kan du återställa lösenordet genom att skriva in mysql-kommandot igen och skriva in

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

Längst ner i /etc/snort/barnyard2.conffilen lägger du till följande och redigera lösenordet till det du ställt in ovan.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Av säkerhetsskäl måste vi låsa vår barnyard.conf-fil eftersom den innehåller ditt databaslösenord i klartext.

sudo chmod o-r /etc/snort/barnyard2.conf

Testning

Du kan testa snort genom att köra den i varningsläge med hjälp av din konfigurationsfil.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

När snort körs, öppna en annan terminal och pinga systemets adress, du bör kunna se meddelandena på din huvudterminal.

Nu när du har lite data i dina snortloggar borde du kunna testa barngården mot den.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Dessa flaggor betyder i princip följande.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Efter att ha startat barnyard, en gång Waiting for new datavisas kan du avsluta programmet genom att trycka ctrl + cnu för att kontrollera din MySQL-databas genom att logga tillbaka in på MySQL-servern och välja alla från eventtabellen i din snortdatabas.

mysql -u snort -p snort
select count(*) from event;

Så länge antalet är mer än 0 fungerade allt som det ska!

Men om antalet ÄR 0, plingar du förmodligen antingen ditt system från ett system som matchar en vitlistad ip. Om så är fallet, försök att pinga ditt system utifrån ditt nätverk och se till att det är exponerat för omvärlden.

Grattis, du har nu ett sätt att läsa och hålla reda på dina upptäckta intrång.