Snort è un sistema di rilevamento delle intrusioni di rete gratuito (IDS). In termini meno ufficiali, ti consente di monitorare la tua rete per attività sospette in tempo reale . Attualmente Snort ha pacchetti per Fedora, CentOS, FreeBSD e sistemi basati su Windows. Il metodo di installazione esatto varia tra i sistemi operativi. In questo tutorial, installeremo direttamente dai file di origine per Snort. Questa guida è stata scritta per Debian.
Aggiorna, aggiorna e riavvia
Prima di mettere effettivamente le mani sulle fonti di Snort, dobbiamo assicurarci che il nostro sistema sia aggiornato. Possiamo farlo emettendo i seguenti comandi.
sudo apt-get update
sudo apt-get upgrade -y
sudo reboot
Configurazione pre-installazione
Una volta riavviato il sistema, è necessario installare numerosi pacchetti per essere sicuri di poter installare SBPP. Sono stato in grado di capire che un numero di pacchetti era necessario, quindi il comando di base è sotto.
sudo apt-get install flex bison build-essential checkinstall libpcap-dev libnet1-dev libpcre3-dev libnetfilter-queue-dev iptables-dev libdumbnet-dev zlib1g-dev -y
Una volta installati tutti i pacchetti, dovrai creare una directory temporanea per i tuoi file sorgente: possono essere ovunque tu voglia. Userò /usr/src/snort_src
. Per creare questa cartella, devi aver effettuato l'accesso come root
utente o disporre delle sudo
autorizzazioni: è root
solo più semplice.
sudo mkdir /usr/src/snort_src
cd /usr/src/snort_src
Installazione della libreria di acquisizione dati (DAQ)
Prima di poter ottenere il sorgente per Snort, è necessario installare il DAQ. È abbastanza semplice da installare.
wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz
Estrarre i file dal tarball.
tar xvfz daq-2.0.6.tar.gz
Passare alla directory DAQ.
cd daq-2.0.6
Configurare e installare il DAQ.
./configure; make; sudo make install
L'ultima riga verrà eseguita per ./configure
prima. Quindi verrà eseguito make
. Infine, verrà eseguito make install
. Usiamo la sintassi più breve qui solo per risparmiare un po 'sulla digitazione.
Installazione di Snort
Vogliamo assicurarci di essere di /usr/src/snort_src
nuovo nella directory, quindi assicurati di cambiare in quella directory con:
cd /usr/src/snort_src
Ora che ci troviamo nella directory dei sorgenti, scaricheremo il tar.gz
file per i sorgenti. Al momento in cui scrivo, la versione più recente di Snort è 2.9.8.0
.
wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz
I comandi per installare effettivamente lo snort sono molto simili a quelli usati per il DAQ, ma hanno diverse opzioni.
Estrarre i file di origine di Snort.
tar xvfz snort-2.9.8.0.tar.gz
Passare alla directory di origine.
cd snort-2.9.8.0
Configura e installa i sorgenti.
./configure --enable-sourcefire; make; sudo make install
Post-installazione di Snort
Una volta installato Snort, dobbiamo assicurarci che le nostre librerie condivise siano aggiornate. Possiamo farlo usando il comando:
sudo ldconfig
Dopo averlo fatto, prova l'installazione di Snort:
snort --version
Se questo comando non funziona, dovrai creare un collegamento simbolico. Puoi farlo digitando:
sudo ln -s /usr/local/bin/snort /usr/sbin/snort
snort --version
L'output risultante sarà simile al seguente:
,,_ -*> Snort! <*-
o" )~ Version 2.9.7.5 GRE (Build 262)
'''' By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using libpcap version 1.6.2
Using PCRE version: 8.35 2014-04-04
Using ZLIB version: 1.2.8
Snort non-root
Ora che abbiamo snort installato, non vogliamo che funzioni come root
, quindi dobbiamo creare un snort
utente e un gruppo. Per creare un nuovo utente e gruppo, possiamo usare questi due comandi:
sudo groupadd snort
sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort
Dal momento che abbiamo installato il programma usando il sorgente, dobbiamo creare i file di configurazione e le regole per snort.
sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo touch /etc/snort/rules/white_list.rules /etc/snort/rules/black_list.rules /etc/snort/rules/local.rules
Dopo aver creato le directory e le regole, ora è necessario creare la directory di registro.
sudo mkdir /var/log/snort
E infine, prima di poter aggiungere qualsiasi regola, abbiamo bisogno di un posto dove memorizzare le regole dinamiche.
sudo mkdir /usr/local/lib/snort_dynamicrules
Dopo aver creato tutti i file precedenti, impostare le autorizzazioni appropriate su di essi.
sudo chmod -R 5775 /etc/snort
sudo chmod -R 5775 /var/log/snort
sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules
sudo chown -R snort:snort /etc/snort
sudo chown -R snort:snort /var/log/snort
sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules
Impostazione dei file di configurazione
Per risparmiare un sacco di tempo e evitare di dover copiare e incollare tutto, basta copiare tutti i file nella directory di configurazione.
sudo cp /usr/src/snort_src/snort*/etc/*.conf* /etc/snort
sudo cp /usr/src/snort_src/snort*/etc/*.map /etc/snort
Ora che ci sono i file di configurazione, puoi fare una delle due cose:
- Puoi abilitare Barnyard2
- Oppure puoi semplicemente lasciare da solo i file di configurazione e abilitare selettivamente le regole desiderate.
Ad ogni modo, vorrai comunque cambiare alcune cose. Continua a leggere.
Configurazione
Nel /etc/snort/snort.conf
file, dovrai modificare la variabile HOME_NET
. Dovrebbe essere impostato sul blocco IP della tua rete interna in modo da non registrare i tentativi della tua rete di accedere al server. Questo può essere 10.0.0.0/24
o 192.168.0.0/16
. Nella riga 45 di /etc/snort/snort.conf
modifica la variabile HOME_NET
in quel valore del blocco IP della tua rete.
Sulla mia rete, si presenta così:
ipvar HOME_NET 192.168.0.0/16
Quindi, dovrai impostare la EXTERNAL_NET
variabile su:
any
Che si trasforma EXERNAL_NET
in qualunque cosa tu HOME_NET
non sia.
Impostazione delle regole
Ora che è installata una grande maggioranza del sistema, dobbiamo configurare le nostre regole per questo porcellino. Da qualche parte intorno alla linea 104 nel /etc/snort/snort.conf
file, si dovrebbe vedere una dichiarazione "var" e le variabili RULE_PATH
, SO_RULE_PATH
, PREPROC_RULE_PATH
, WHITE_LIST_PATH
, e BLACK_LIST_PATH
. I loro valori dovrebbero essere impostati sui percorsi in cui abbiamo utilizzato Un-rooting Snort
.
var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules
Dopo aver impostato tali valori, eliminare o commentare le regole correnti a partire dalla riga 548.
Ora, controlliamo per assicurarti che la tua configurazione sia corretta. Puoi verificarlo con snort
.
# snort -T -c /etc/snort/snort.conf
Vedrai un output simile al seguente (troncato per brevità).
Running in Test mode
--== Initializing Snort ==--
Initializing Output Plugins!
Initializing Preprocessors!
Initializing Plug-ins!
.....
Rule application order: activation->dynamic->pass->drop->sdrop->reject->alert->log
Verifying Preprocessor Configurations!
--== Initialization Complete ==--
,,_ -*> Snort! <*-
o" )~ Version 2.9.8.0 GRE (Build 229)
'''' By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using libpcap version 1.7.4
Using PCRE version: 8.35 2014-04-04
Using ZLIB version: 1.2.8
Rules Engine: SF_SNORT_DETECTION_ENGINE Version 2.4 <Build 1>
Preprocessor Object: SF_IMAP Version 1.0 <Build 1>
Preprocessor Object: SF_FTPTELNET Version 1.2 <Build 13>
Preprocessor Object: SF_SIP Version 1.1 <Build 1>
Preprocessor Object: SF_REPUTATION Version 1.1 <Build 1>
Preprocessor Object: SF_POP Version 1.0 <Build 1>
Preprocessor Object: SF_DCERPC2 Version 1.0 <Build 3>
Preprocessor Object: SF_SDF Version 1.1 <Build 1>
Preprocessor Object: SF_GTP Version 1.1 <Build 1>
Preprocessor Object: SF_DNS Version 1.1 <Build 4>
Preprocessor Object: SF_SSH Version 1.1 <Build 3>
Preprocessor Object: SF_DNP3 Version 1.1 <Build 1>
Preprocessor Object: SF_SSLPP Version 1.1 <Build 4>
Preprocessor Object: SF_SMTP Version 1.1 <Build 9>
Preprocessor Object: SF_MODBUS Version 1.1 <Build 1>
Snort successfully validated the configuration!
Snort exiting
Ora che tutto è configurato senza errori, siamo pronti per iniziare a testare Snort.
Test Snort
Il modo più semplice per testare Snort è abilitando local.rules
. Questo è un file che contiene le tue regole personalizzate.
Se hai notato nel snort.conf
file, da qualche parte intorno alla linea 546, questa linea esiste:
include $RULE_PATH/local.rules
Se non lo hai, ti preghiamo di aggiungerlo intorno a 546. Puoi quindi utilizzare il local.rules
file per il test. Come test di base, ho solo Snort per tenere traccia di una richiesta di ping (richiesta ICMP). Puoi farlo aggiungendo la seguente riga al tuo local.rules
file.
alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)
Dopo averlo inserito nel tuo file, salvalo e continua a leggere.
Esegui il test
Il comando seguente avvierà Snort e stamperà avvisi di "modalità veloce", mentre l'utente sbuffa, sotto lo snort di gruppo, usando la configurazione /etc/snort/snort.conf
, e ascolterà sull'interfaccia di rete eno1
. Dovrai passare eno1
all'interfaccia di rete su cui il tuo sistema è in ascolto.
$ sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eno1
Dopo averlo avviato, esegui il ping del computer. Inizierai a vedere un output simile al seguente:
01/07−16:03:30.611173 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.105 -> 192.168.1.104
01/07−16:03:31.612174 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.104 -> 192.168.1.105
01/07−16:03:31.612202 [**] [1:10000001:0] ICMP test [**] [Priority: 0] 192.168.1.105 -> 192.168.1.104
^C*** Caught Int−Signal
Puoi premere Ctrl + C per uscire dal programma, e il gioco è fatto. Snort è tutto pronto. Ora puoi usare tutte le regole che desideri.
Infine, desidero notare che ci sono alcune regole pubbliche stabilite dalla community che è possibile scaricare dal sito ufficiale nella scheda "Community". Cerca "Snort", quindi appena sotto c'è un link alla community. Scaricalo, estrailo e cerca il community.rules
file.