Snort è un sistema di rilevamento delle intrusioni di rete gratuito (IDS). In termini meno ufficiali, ti consente di monitorare la tua rete per attività sospette in tempo reale . Attualmente Snort ha pacchetti per Fedora, CentOS, FreeBSD e sistemi basati su Windows. Il metodo di installazione esatto varia tra i sistemi operativi. In questo tutorial, installeremo direttamente dai file di origine per Snort. Questa guida è stata scritta per Debian.
Prima di mettere effettivamente le mani sulle fonti di Snort, dobbiamo assicurarci che il nostro sistema sia aggiornato. Possiamo farlo emettendo i seguenti comandi.
sudo apt-get update
sudo apt-get upgrade -y
sudo reboot
Una volta riavviato il sistema, è necessario installare numerosi pacchetti per essere sicuri di poter installare SBPP. Sono stato in grado di capire che un numero di pacchetti era necessario, quindi il comando di base è sotto.
sudo apt-get install flex bison build-essential checkinstall libpcap-dev libnet1-dev libpcre3-dev libnetfilter-queue-dev iptables-dev libdumbnet-dev zlib1g-dev -y
Una volta installati tutti i pacchetti, dovrai creare una directory temporanea per i tuoi file sorgente: possono essere ovunque tu voglia. Userò /usr/src/snort_src. Per creare questa cartella, devi aver effettuato l'accesso come rootutente o disporre delle sudoautorizzazioni: è rootsolo più semplice.
sudo mkdir /usr/src/snort_src
cd /usr/src/snort_src
Prima di poter ottenere il sorgente per Snort, è necessario installare il DAQ. È abbastanza semplice da installare.
wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz
Estrarre i file dal tarball.
tar xvfz daq-2.0.6.tar.gz
Passare alla directory DAQ.
cd daq-2.0.6
Configurare e installare il DAQ.
./configure; make; sudo make install
L'ultima riga verrà eseguita per ./configureprima. Quindi verrà eseguito make. Infine, verrà eseguito make install. Usiamo la sintassi più breve qui solo per risparmiare un po 'sulla digitazione.
Vogliamo assicurarci di essere di /usr/src/snort_srcnuovo nella directory, quindi assicurati di cambiare in quella directory con:
cd /usr/src/snort_src
Ora che ci troviamo nella directory dei sorgenti, scaricheremo il tar.gzfile per i sorgenti. Al momento in cui scrivo, la versione più recente di Snort è 2.9.8.0.
wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz
I comandi per installare effettivamente lo snort sono molto simili a quelli usati per il DAQ, ma hanno diverse opzioni.
Estrarre i file di origine di Snort.
tar xvfz snort-2.9.8.0.tar.gz
Passare alla directory di origine.
cd snort-2.9.8.0
Configura e installa i sorgenti.
./configure --enable-sourcefire; make; sudo make install
Una volta installato Snort, dobbiamo assicurarci che le nostre librerie condivise siano aggiornate. Possiamo farlo usando il comando:
sudo ldconfig
Dopo averlo fatto, prova l'installazione di Snort:
snort --version
Se questo comando non funziona, dovrai creare un collegamento simbolico. Puoi farlo digitando:
sudo ln -s /usr/local/bin/snort /usr/sbin/snort
snort --version
L'output risultante sarà simile al seguente:
,,_ -*> Snort! <*-
o" )~ Version 2.9.7.5 GRE (Build 262)
'''' By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using libpcap version 1.6.2
Using PCRE version: 8.35 2014-04-04
Using ZLIB version: 1.2.8
Ora che abbiamo snort installato, non vogliamo che funzioni come root, quindi dobbiamo creare un snortutente e un gruppo. Per creare un nuovo utente e gruppo, possiamo usare questi due comandi:
sudo groupadd snort
sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort
Dal momento che abbiamo installato il programma usando il sorgente, dobbiamo creare i file di configurazione e le regole per snort.
sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo touch /etc/snort/rules/white_list.rules /etc/snort/rules/black_list.rules /etc/snort/rules/local.rules
Dopo aver creato le directory e le regole, ora è necessario creare la directory di registro.
sudo mkdir /var/log/snort
E infine, prima di poter aggiungere qualsiasi regola, abbiamo bisogno di un posto dove memorizzare le regole dinamiche.
sudo mkdir /usr/local/lib/snort_dynamicrules
Dopo aver creato tutti i file precedenti, impostare le autorizzazioni appropriate su di essi.
sudo chmod -R 5775 /etc/snort
sudo chmod -R 5775 /var/log/snort
sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules
sudo chown -R snort:snort /etc/snort
sudo chown -R snort:snort /var/log/snort
sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules
Per risparmiare un sacco di tempo e evitare di dover copiare e incollare tutto, basta copiare tutti i file nella directory di configurazione.
sudo cp /usr/src/snort_src/snort*/etc/*.conf* /etc/snort
sudo cp /usr/src/snort_src/snort*/etc/*.map /etc/snort
Ora che ci sono i file di configurazione, puoi fare una delle due cose:
Ad ogni modo, vorrai comunque cambiare alcune cose. Continua a leggere.
Nel /etc/snort/snort.conffile, dovrai modificare la variabile HOME_NET. Dovrebbe essere impostato sul blocco IP della tua rete interna in modo da non registrare i tentativi della tua rete di accedere al server. Questo può essere 10.0.0.0/24o 192.168.0.0/16. Nella riga 45 di /etc/snort/snort.confmodifica la variabile HOME_NETin quel valore del blocco IP della tua rete.
Sulla mia rete, si presenta così:
ipvar HOME_NET 192.168.0.0/16
Quindi, dovrai impostare la EXTERNAL_NETvariabile su:
any
Che si trasforma EXERNAL_NETin qualunque cosa tu HOME_NETnon sia.
Ora che è installata una grande maggioranza del sistema, dobbiamo configurare le nostre regole per questo porcellino. Da qualche parte intorno alla linea 104 nel /etc/snort/snort.conffile, si dovrebbe vedere una dichiarazione "var" e le variabili RULE_PATH, SO_RULE_PATH, PREPROC_RULE_PATH, WHITE_LIST_PATH, e BLACK_LIST_PATH. I loro valori dovrebbero essere impostati sui percorsi in cui abbiamo utilizzato Un-rooting Snort.
var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules
Dopo aver impostato tali valori, eliminare o commentare le regole correnti a partire dalla riga 548.
Ora, controlliamo per assicurarti che la tua configurazione sia corretta. Puoi verificarlo con snort.
# snort -T -c /etc/snort/snort.conf
Vedrai un output simile al seguente (troncato per brevità).
Running in Test mode
--== Initializing Snort ==--
Initializing Output Plugins!
Initializing Preprocessors!
Initializing Plug-ins!
.....
Rule application order: activation->dynamic->pass->drop->sdrop->reject->alert->log
Verifying Preprocessor Configurations!
--== Initialization Complete ==--
,,_ -*> Snort! <*-
o" )~ Version 2.9.8.0 GRE (Build 229)
'''' By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using libpcap version 1.7.4
Using PCRE version: 8.35 2014-04-04
Using ZLIB version: 1.2.8
Rules Engine: SF_SNORT_DETECTION_ENGINE Version 2.4 <Build 1>
Preprocessor Object: SF_IMAP Version 1.0 <Build 1>
Preprocessor Object: SF_FTPTELNET Version 1.2 <Build 13>
Preprocessor Object: SF_SIP Version 1.1 <Build 1>
Preprocessor Object: SF_REPUTATION Version 1.1 <Build 1>
Preprocessor Object: SF_POP Version 1.0 <Build 1>
Preprocessor Object: SF_DCERPC2 Version 1.0 <Build 3>
Preprocessor Object: SF_SDF Version 1.1 <Build 1>
Preprocessor Object: SF_GTP Version 1.1 <Build 1>
Preprocessor Object: SF_DNS Version 1.1 <Build 4>
Preprocessor Object: SF_SSH Version 1.1 <Build 3>
Preprocessor Object: SF_DNP3 Version 1.1 <Build 1>
Preprocessor Object: SF_SSLPP Version 1.1 <Build 4>
Preprocessor Object: SF_SMTP Version 1.1 <Build 9>
Preprocessor Object: SF_MODBUS Version 1.1 <Build 1>
Snort successfully validated the configuration!
Snort exiting
Ora che tutto è configurato senza errori, siamo pronti per iniziare a testare Snort.
Il modo più semplice per testare Snort è abilitando local.rules. Questo è un file che contiene le tue regole personalizzate.
Se hai notato nel snort.conffile, da qualche parte intorno alla linea 546, questa linea esiste:
include $RULE_PATH/local.rules
Se non lo hai, ti preghiamo di aggiungerlo intorno a 546. Puoi quindi utilizzare il local.rulesfile per il test. Come test di base, ho solo Snort per tenere traccia di una richiesta di ping (richiesta ICMP). Puoi farlo aggiungendo la seguente riga al tuo local.rulesfile.
alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)
Dopo averlo inserito nel tuo file, salvalo e continua a leggere.
Il comando seguente avvierà Snort e stamperà avvisi di "modalità veloce", mentre l'utente sbuffa, sotto lo snort di gruppo, usando la configurazione /etc/snort/snort.conf, e ascolterà sull'interfaccia di rete eno1. Dovrai passare eno1all'interfaccia di rete su cui il tuo sistema è in ascolto.
$ sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eno1
Dopo averlo avviato, esegui il ping del computer. Inizierai a vedere un output simile al seguente:
01/07−16:03:30.611173 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.105 -> 192.168.1.104
01/07−16:03:31.612174 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.104 -> 192.168.1.105
01/07−16:03:31.612202 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.105 -> 192.168.1.104
^C*** Caught Int−Signal
Puoi premere Ctrl + C per uscire dal programma, e il gioco è fatto. Snort è tutto pronto. Ora puoi usare tutte le regole che desideri.
Infine, desidero notare che ci sono alcune regole pubbliche stabilite dalla community che è possibile scaricare dal sito ufficiale nella scheda "Community". Cerca "Snort", quindi appena sotto c'è un link alla community. Scaricalo, estrailo e cerca il community.rulesfile.
Gli attacchi ransomware sono in aumento, ma l'intelligenza artificiale può aiutare ad affrontare l'ultimo virus informatico? L'intelligenza artificiale è la risposta? Leggi qui sai è AI boone o bane
ReactOS, un sistema operativo open source e gratuito è qui con l'ultima versione. Può essere sufficiente alle esigenze degli utenti Windows moderni e abbattere Microsoft? Scopriamo di più su questo vecchio stile, ma un'esperienza del sistema operativo più recente.
Whatsapp ha finalmente lanciato l'app desktop per utenti Mac e Windows. Ora puoi accedere facilmente a Whatsapp da Windows o Mac. Disponibile per Windows 8+ e Mac OS 10.9+
Leggi questo per sapere come l'intelligenza artificiale sta diventando popolare tra le aziende di piccole dimensioni e come sta aumentando le probabilità di farle crescere e dare un vantaggio ai loro concorrenti.
Recentemente Apple ha rilasciato macOS Catalina 10.15.4 un aggiornamento supplementare per risolvere i problemi, ma sembra che l'aggiornamento stia causando più problemi che portano al bricking delle macchine mac. Leggi questo articolo per saperne di più
13 strumenti commerciali per l'estrazione dei dati dai Big Data
Il nostro computer memorizza tutti i dati in un modo organizzato noto come file system di journaling. È un metodo efficiente che consente al computer di cercare e visualizzare i file non appena si preme search.https://wethegeek.com/?p=94116&preview=true
Man mano che la scienza si evolve a un ritmo rapido, assumendo gran parte dei nostri sforzi, aumentano anche i rischi di sottoporci a una singolarità inspiegabile. Leggi, cosa potrebbe significare per noi la singolarità.
Uno sguardo a 26 tecniche di analisi dei Big Data: Parte 1
L'intelligenza artificiale nell'assistenza sanitaria ha compiuto grandi passi avanti negli ultimi decenni. Pertanto, il futuro dell'IA in sanità continua a crescere giorno dopo giorno.
